Le malware Android Mantax Otax chiffre les fichiers, espionne ses victimes et transforme le harcèlement en arme

Une nouvelle souche de malware Android baptisée Mantax Otax combine ransomware, surveillance de comptes, contrôle à distance de l’appareil et outils conçus pour intimider les victimes.

Les informations publiées le 10 septembre 2026 indiquent que le malware est distribué sous forme de fichiers APK malveillants hébergés en dehors de Google Play. Ses opérateurs, décrits comme indonésiens, utilisent des messages d’hameçonnage et d’ingénierie sociale pour convaincre leurs cibles d’installer les applications et d’accorder de puissantes autorisations d’accessibilité.

Mantax Otax est particulièrement destructeur sur les appareils fonctionnant sous Android 9 ou une version antérieure, où il peut chiffrer les fichiers présents sur le stockage partagé. Android 10 et les versions ultérieures limitent cette capacité grâce au Scoped Storage, mais les appareils récents restent exposés aux fonctions d’espionnage, de capture d’écran, d’utilisation de la caméra et de harcèlement du malware.

Les autorisations d’accessibilité transforment un APK malveillant en outil de contrôle à distance

La chaîne d’infection nécessite que la victime installe un APK provenant d’une source extérieure à la boutique officielle d’Android. L’application malveillante demande ensuite l’accès au service d’accessibilité d’Android.

Cette autorisation est au cœur de l’opération. Les fonctions d’accessibilité sont destinées à aider les utilisateurs à interagir avec les applications, mais les malwares peuvent les détourner pour observer le contenu de l’interface et simuler des appuis, des saisies et des actions de navigation.

Mantax Otax exploite ce contrôle pour collecter des données dans les applications et effectuer des actions qui nécessiteraient normalement une interaction directe de l’utilisateur. Il peut accéder aux messages, capturer les informations affichées à l’écran et activer des fonctions de surveillance sur instruction de son infrastructure de commande et de contrôle.

Le malware ne s’appuie pas exclusivement sur une adresse C2 intégrée à l’APK. Il récupère à la place le domaine de l’infrastructure active depuis GitHub, ce qui permet aux opérateurs de changer de serveur sans devoir nécessairement diffuser une nouvelle version du malware.

Après sa connexion, Mantax Otax transmet des informations sur la victime et l’appareil. Les commandes et les communications peuvent ensuite transiter par Firebase ou par des WebSockets.

Les noms exacts des packages malveillants, les certificats de signature, les empreintes, les domaines C2 et les leurres d’hameçonnage n’ont pas été divulgués. Les défenseurs peuvent donc difficilement s’appuyer uniquement sur des indicateurs statiques.

Le chiffrement des fichiers est surtout efficace sur Android 9 et les versions antérieures

Le composant ransomware recherche certains types de fichiers dans le stockage partagé. Pour chaque victime, il obtient une clé de chiffrement AES spécifique auprès du serveur C2 et l’utilise pour chiffrer les fichiers ciblés.

Mantax Otax supprime les originaux et ajoute l’extension .enc aux copies chiffrées. Il peut également remplacer les images stockées sur l’appareil par des demandes de rançon, rendant le message d’extorsion visible dans toute la collection de photos de la victime.

Le malware ouvre ensuite une interface de discussion en plein écran hébergée via Firebase. Les victimes peuvent l’utiliser pour communiquer avec les opérateurs et négocier directement le paiement de la rançon.

Les chercheurs de Zimperium ont découvert une erreur de configuration dans l’infrastructure Firebase des attaquants et l’ont exploitée pour accéder aux conversations entre opérateurs et victimes, exposant ainsi des communications liées à la campagne d’extorsion.

Le module de chiffrement cible Android 9 ou une version antérieure. Les appareils fonctionnant sous Android 10 et les versions ultérieures bénéficient du Scoped Storage, qui limite la manière dont les applications peuvent accéder aux fichiers appartenant à d’autres applications et aux emplacements situés en dehors de leur répertoire de fichiers externes autorisé.

Cette protection réduit fortement la capacité du malware à chiffrer les fichiers présents sur le stockage partagé. Elle ne neutralise toutefois pas l’infection.

Sur les versions récentes d’Android, Mantax Otax peut toujours voler des informations, automatiser des interactions, capturer l’écran, activer les caméras et diffuser des contenus perturbateurs s’il obtient les autorisations nécessaires.

La surveillance s’étend des SMS aux caméras et aux écrans en direct

Mantax Otax collecte un large éventail d’informations personnelles et techniques. Ses fonctionnalités lui permettent notamment de voler :

• Le code PIN de l’écran de verrouillage de l’appareil.
• Les SMS et les mots de passe à usage unique.
• Les contacts et l’historique des appels.
• L’historique de navigation.
• La liste des applications installées.
• Les informations du compte Google.
• La localisation de l’appareil.
• L’identifiant de l’appareil, l’opérateur et la version d’Android.

L’accès aux SMS et aux mots de passe à usage unique crée des risques qui dépassent le cadre du téléphone infecté. Les codes volés peuvent aider les attaquants à compromettre des comptes dont l’authentification repose sur les messages texte, tandis qu’un code PIN d’écran de verrouillage récupéré peut leur permettre de conserver l’accès à l’appareil.

Le malware peut également récupérer les profils et les messages WhatsApp, ainsi que les conversations Telegram. Il utilise les interactions pilotées par le service d’accessibilité pour naviguer dans les applications et en extraire le contenu, plutôt que de dépendre uniquement d’un accès direct au stockage des applications.

Pour assurer la surveillance visuelle, Mantax Otax détourne l’API MediaProjection d’Android. Il peut réaliser des captures d’écran, enregistrer l’affichage au format vidéo MP4 et fournir une surveillance de l’écran presque en temps réel grâce au service d’hébergement de fichiers Catbox.

Les opérateurs peuvent également activer les caméras du téléphone, prendre des photos et téléverser les images obtenues. Un appareil compromis peut ainsi exposer à la fois l’activité affichée à l’écran et l’environnement physique de la victime.

Ces fonctionnalités rendent la menace préoccupante même lorsque le chiffrement des fichiers échoue. Un appareil fonctionnant sous Android 10 ou une version ultérieure peut éviter les dommages les plus importants du ransomware tout en continuant de divulguer des conversations privées, des identifiants, des données de localisation et des enregistrements visuels.

La version 2 ajoute des outils d’intimidation et de pression psychologique

La version 2 de Mantax Otax a introduit des fonctionnalités destinées à harceler les victimes pendant l’extorsion. Le malware peut afficher des boîtes de dialogue à répétition, forcer la lecture de vidéos en plein écran et faire apparaître rapidement des images de type « jumpscare ».

Les opérateurs peuvent également envoyer du texte que l’appareil lit à voix haute par ses haut-parleurs grâce à la fonction de synthèse vocale. L’attaquant dispose ainsi d’un canal direct et perturbateur jusque dans l’environnement de la victime.

Cette composante de harcèlement distingue Mantax Otax des ransomwares Android qui se contentent de chiffrer les fichiers et d’afficher une demande de paiement. Ici, les opérateurs peuvent combiner les informations personnelles volées, la surveillance de l’appareil, les interruptions persistantes et l’intimidation audiovisuelle.

Cette combinaison peut accroître la pression exercée sur les victimes en démontrant que les attaquants conservent le contrôle du téléphone. Les conséquences ne se limitent donc pas à la disponibilité des données : la confidentialité, la sécurité des comptes et la sécurité personnelle peuvent également être affectées.

Aucune information n’a été divulguée concernant le nombre de victimes, le montant des rançons demandées, les moyens de paiement, la date de début de la campagne ou son périmètre géographique, au-delà de la description des opérateurs.

Le téléchargement parallèle, les demandes d’accessibilité et les fichiers .enc sont des signes d’alerte

La mesure de prévention la plus évidente consiste à éviter d’installer des fichiers APK reçus dans des messages non sollicités ou téléchargés depuis des sites web non fiables. Mantax Otax dépend d’une distribution en dehors de Google Play et exige que la victime mène à bien le processus d’installation.

Les utilisateurs doivent considérer toute demande inattendue d’accès au service d’accessibilité comme un sérieux signal d’alerte, en particulier lorsque la fonction annoncée de l’application ne justifie pas un contrôle du contenu de l’écran et des actions dans l’interface.

Les signes potentiels d’une compromission comprennent :

• Une application inconnue installée en téléchargement parallèle et disposant de l’accès au service d’accessibilité.
• Des fichiers renommés de manière inattendue avec l’extension .enc.
• Des images remplacées par des messages de rançon.
• Des discussions, vidéos, boîtes de dialogue ou superpositions d’images en plein écran inexpliquées.
• Des messages vocaux générés par les haut-parleurs de l’appareil.
• Des demandes inattendues d’enregistrement de l’écran ou d’utilisation de MediaProjection.
• Une activité de la caméra que l’utilisateur n’a pas déclenchée.

Aucun identifiant de package ni aucune empreinte de fichier n’étant disponible, les équipes de sécurité doivent examiner les autorisations et le comportement des applications plutôt que d’attendre un indicateur connu précis.

Play Protect bloque la menace, mais les mises à jour d’Android restent essentielles

Zimperium participe à l’App Defense Alliance de Google, et Mantax Otax est déjà détecté et bloqué sur les appareils Android à jour lorsque Google Play Protect est activé.

Les utilisateurs doivent vérifier que Play Protect reste actif, maintenir Android et ses composants de sécurité à jour et installer les applications uniquement auprès d’éditeurs réputés. Les autorisations accordées aux applications doivent correspondre à leur fonction légitime.

Les organisations qui gèrent des flottes Android doivent également surveiller les installations en téléchargement parallèle et vérifier quelles applications disposent de privilèges d’accessibilité. Les appareils fonctionnant sous Android 9 ou une version antérieure présentent le risque le plus élevé de chiffrement des fichiers et doivent être mis à niveau lorsque cela est possible.

Les principales mesures de défense sont simples : éviter les APK non fiables, refuser les demandes d’accessibilité suspectes, maintenir les protections de sécurité à jour et examiner attentivement les messages qui tentent de déplacer l’installation de logiciels en dehors de Google Play.