Android-Schadsoftware Mantax Otax verschlüsselt Dateien, spioniert Opfer aus und setzt Belästigung als Waffe ein

Eine neu entdeckte Android-Schadsoftware namens Mantax Otax kombiniert Ransomware, die Überwachung von Konten, die Fernsteuerung von Geräten und Werkzeuge zur Einschüchterung von Opfern.

Am 10. September 2026 veröffentlichte Details zeigen, dass die Schadsoftware über schädliche APK-Dateien verbreitet wird, die außerhalb von Google Play gehostet werden. Die mutmaßlich indonesischen Betreiber nutzen Phishing- und Social-Engineering-Nachrichten, um ihre Ziele zur Installation der Anwendungen und zur Erteilung weitreichender Accessibility-Berechtigungen zu bewegen.

Besonders zerstörerisch ist Mantax Otax auf Geräten mit Android 9 oder älter, da die Schadsoftware dort Dateien im gemeinsamen Speicher verschlüsseln kann. Android 10 und höher schränken diese Fähigkeit durch Scoped Storage ein. Neuere Geräte bleiben jedoch den Spionage-, Bildschirmaufnahme-, Kamera- und Belästigungsfunktionen der Schadsoftware ausgesetzt.

Accessibility-Zugriff macht aus einer schädlichen APK ein Fernsteuerungswerkzeug

Für die Infektion muss das Opfer eine APK außerhalb des offiziellen Android-App-Stores installieren. Anschließend fordert die schädliche Anwendung Zugriff auf den Accessibility-Dienst von Android an.

Diese Berechtigung ist für den Angriff zentral. Accessibility-Funktionen sollen Nutzern die Interaktion mit Anwendungen erleichtern. Schadsoftware kann sie jedoch missbrauchen, um Inhalte der Benutzeroberfläche zu beobachten und Tippen, Eingaben sowie die Navigation zu simulieren.

Mantax Otax nutzt diese Kontrolle, um Daten aus Anwendungen zu sammeln und Aktionen auszuführen, die normalerweise eine direkte Interaktion des Nutzers erfordern würden. Die Schadsoftware kann Nachrichten auslesen, auf dem Bildschirm angezeigte Informationen erfassen und Überwachungsfunktionen über Anweisungen aus ihrer Command-and-Control-Infrastruktur steuern.

Die Schadsoftware greift nicht ausschließlich auf eine in der APK hinterlegte C2-Adresse zurück. Stattdessen ruft sie die aktuelle Infrastrukturdomain von GitHub ab. So können die Betreiber die Server wechseln, ohne zwingend eine neue Version der Schadsoftware verbreiten zu müssen.

Nach dem Verbindungsaufbau übermittelt Mantax Otax Informationen über das Opfer und das Gerät. Die Übermittlung von Befehlen und die Kommunikation können anschließend über Firebase oder WebSockets erfolgen.

Die genauen Namen der schädlichen Pakete, Signaturzertifikate, Hashes, C2-Domains und Phishing-Köder wurden nicht veröffentlicht. Dadurch können sich Verteidiger nicht allein auf statische Indikatoren verlassen.

Dateiverschlüsselung ist unter Android 9 und älter am effektivsten

Die Ransomware-Komponente durchsucht den gemeinsamen Speicher nach bestimmten Dateitypen. Für jedes Opfer bezieht sie einen individuellen AES-Verschlüsselungsschlüssel vom C2-Server und verwendet ihn, um die ausgewählten Dateien zu verschlüsseln.

Mantax Otax löscht die Originale und versieht die verschlüsselten Kopien mit der Endung .enc. Außerdem kann die Schadsoftware auf dem Gerät gespeicherte Bilder durch Lösegeldforderungen ersetzen, sodass die Erpressungsnachricht in der gesamten Fotosammlung des Opfers sichtbar wird.

Anschließend öffnet die Schadsoftware eine im Vollbild angezeigte Chat-Oberfläche, die über Firebase bereitgestellt wird. Opfer können diese Oberfläche nutzen, um direkt mit den Betreibern zu kommunizieren und Lösegeldzahlungen auszuhandeln.

Forscher von Zimperium entdeckten einen Konfigurationsfehler in der Firebase-Infrastruktur der Angreifer und nutzten ihn, um Gespräche zwischen Betreibern und Opfern einzusehen. Dadurch wurden Kommunikationen im Zusammenhang mit der Erpressungskampagne offengelegt.

Das Verschlüsselungsmodul greift Android 9 und älter an. Geräte mit Android 10 und höher profitieren von Scoped Storage. Diese Funktion beschränkt den Zugriff von Anwendungen auf Dateien anderer Anwendungen und auf Speicherorte außerhalb ihres freigegebenen Verzeichnisses für externe Dateien.

Dieser Schutz verringert die Fähigkeit der Schadsoftware, Dateien im gemeinsamen Speicher zu verschlüsseln, erheblich. Die Infektion wird dadurch jedoch nicht neutralisiert.

Auf neueren Android-Versionen kann Mantax Otax weiterhin Informationen stehlen, Interaktionen automatisieren, Bildschirminhalte erfassen, Kameras aktivieren und störende Inhalte anzeigen, sofern die erforderlichen Berechtigungen vorliegen.

Die Überwachung reicht von SMS-Nachrichten bis zu Kameras und Live-Bildschirmen

Mantax Otax sammelt eine große Bandbreite persönlicher und technischer Informationen. Zu den gestohlenen Daten gehören:

• Die PIN zum Entsperren des Geräts.
• SMS-Nachrichten und Einmalpasswörter.
• Kontakte und Anruflisten.
• Der Browserverlauf.
• Listen installierter Anwendungen.
• Informationen zum Google-Konto.
• Der Gerätestandort.
• Gerätekennung, Mobilfunkanbieter und Android-Version.

Der Zugriff auf SMS-Nachrichten und Einmalpasswörter stellt auch außerhalb des infizierten Telefons ein Risiko dar. Gestohlene Codes können Angreifern helfen, Konten zu kompromittieren, deren Authentifizierung auf Textnachrichten basiert. Eine abgegriffene PIN zum Entsperren des Bildschirms kann zudem den dauerhaften Zugriff auf das Gerät ermöglichen.

Die Schadsoftware kann außerdem WhatsApp-Profile und -Nachrichten sowie Telegram-Unterhaltungen auslesen. Dabei nutzt sie die durch Accessibility ermöglichten Interaktionen, um zu navigieren und Inhalte zu extrahieren, statt sich ausschließlich auf den direkten Zugriff auf den Anwendungsspeicher zu verlassen.

Für die visuelle Überwachung missbraucht Mantax Otax die Android-MediaProjection API. Die Schadsoftware kann Screenshots erstellen, den Bildschirm als MP4-Video aufzeichnen und über den Datei-Hostingdienst Catbox eine nahezu in Echtzeit erfolgende Bildschirmüberwachung ermöglichen.

Die Betreiber können zusätzlich die Kameras des Telefons aktivieren, Fotos aufnehmen und die entstandenen Bilder hochladen. Ein kompromittiertes Gerät kann somit sowohl Aktivitäten auf dem Bildschirm als auch die unmittelbare Umgebung des Opfers preisgeben.

Diese Funktionen machen die Bedrohung auch dann relevant, wenn die Dateiverschlüsselung scheitert. Ein Gerät mit Android 10 oder höher bleibt möglicherweise vom größten Schaden durch die Ransomware verschont, kann aber weiterhin private Unterhaltungen, Zugangsdaten, Standortdaten und Bildaufnahmen preisgeben.

Version 2 ergänzt Werkzeuge zur Einschüchterung und psychologischen Druckausübung

Version 2 von Mantax Otax führte Funktionen ein, mit denen Opfer während der Erpressung belästigt werden sollen. Die Schadsoftware kann wiederholt Dialogfelder anzeigen, die Wiedergabe von Videos im Vollbild erzwingen und in schneller Folge „Jumpscare“-Bilder einblenden.

Die Betreiber können außerdem Texte senden, die das infizierte Gerät mithilfe der Text-to-Speech-Funktion über seine Lautsprecher vorliest. Dadurch erhalten die Angreifer einen direkten und störenden Zugang zur Umgebung des Opfers.

Die Belästigungskomponente unterscheidet Mantax Otax von Android-Ransomware, die lediglich Dateien verschlüsselt und eine Zahlungsforderung anzeigt. Die Betreiber können hier gestohlene persönliche Informationen, Geräteüberwachung, anhaltende Unterbrechungen und audiovisuelle Einschüchterung miteinander kombinieren.

Diese Kombination kann den Druck auf die Opfer erhöhen, weil sie zeigt, dass die Angreifer weiterhin die Kontrolle über das Telefon haben. Die Folgen beschränken sich dadurch nicht auf die Verfügbarkeit von Daten: Auch Privatsphäre, Kontosicherheit und persönliche Sicherheit können beeinträchtigt werden.

Es wurden keine Angaben zur Zahl der Opfer, zur Höhe der geforderten Lösegelder, zu den Zahlungsmethoden, zum Beginn der Kampagne oder zu ihrer geografischen Reichweite veröffentlicht. Bekannt ist lediglich die Beschreibung der Betreiber.

Warnsignale sind Sideloading, Accessibility-Abfragen und .enc-Dateien

Die wichtigste Präventionsmaßnahme besteht darin, keine APK-Dateien zu installieren, die über unerwünschte Nachrichten empfangen oder von nicht vertrauenswürdigen Websites heruntergeladen wurden. Mantax Otax ist auf die Verbreitung außerhalb von Google Play angewiesen und erfordert, dass das Opfer den Installationsvorgang abschließt.

Nutzer sollten eine unerwartete Aufforderung zum Zugriff auf Accessibility als ernstes Warnsignal betrachten. Das gilt insbesondere dann, wenn die angegebene Funktion der Anwendung keine Kontrolle über Bildschirminhalte und Interaktionen mit der Benutzeroberfläche rechtfertigt.

Mögliche Anzeichen für eine Kompromittierung sind:

• Eine unbekannte per Sideloading installierte Anwendung mit Accessibility-Zugriff.
• Unerwartet in Dateien umbenannte Dateien mit der Endung .enc.
• Durch Lösegeldnachrichten ersetzte Bilder.
• Unerklärliche Chats, Videos, Dialogfelder oder Bildüberlagerungen im Vollbild.
• Über die Lautsprecher des Geräts ausgegebene Sprachnachrichten.
• Unerwartete Aufforderungen zur Bildschirmaufzeichnung oder zu MediaProjection.
• Kameraaktivitäten, die der Nutzer nicht selbst ausgelöst hat.

Da keine Paketkennungen oder Dateihashes verfügbar sind, sollten Sicherheitsteams Berechtigungen und Verhaltensweisen untersuchen, statt auf einen einzelnen bekannten Indikator zu warten.

Play Protect blockiert die Bedrohung, doch Android-Updates bleiben wichtig

Zimperium ist Mitglied der App Defense Alliance von Google. Mantax Otax wird auf aktuellen Android-Geräten bereits erkannt und blockiert, sofern Google Play Protect aktiviert ist.

Nutzer sollten überprüfen, ob Play Protect weiterhin aktiv ist, Android und seine Sicherheitskomponenten auf dem aktuellen Stand halten und Anwendungen ausschließlich von vertrauenswürdigen Herausgebern installieren. Die Berechtigungen einer Anwendung sollten ihrem legitimen Zweck entsprechen.

Organisationen, die Android-Flotten verwalten, sollten außerdem Sideloading überwachen und prüfen, welche Anwendungen über Accessibility-Berechtigungen verfügen. Geräte mit Android 9 oder älter sind dem größten Risiko einer Dateiverschlüsselung ausgesetzt und sollten nach Möglichkeit aktualisiert werden.

Die wichtigsten Schutzmaßnahmen sind unkompliziert: Keine nicht vertrauenswürdigen APKs installieren, verdächtige Accessibility-Anfragen ablehnen, aktuelle Sicherheitsfunktionen aktiv halten und Nachrichten kritisch prüfen, die dazu auffordern, Software außerhalb von Google Play zu installieren.