Il malware Android Mantax Otax cripta i file, spia le vittime e trasforma le molestie in un’arma

Una nuova famiglia di malware Android chiamata Mantax Otax combina ransomware, sorveglianza degli account, controllo remoto dei dispositivi e strumenti progettati per intimidire le vittime.

I dettagli resi noti il 10 settembre 2026 mostrano che il malware viene distribuito tramite file APK dannosi ospitati al di fuori di Google Play. I suoi operatori, descritti come indonesiani, usano messaggi di phishing e tecniche di social engineering per convincere i bersagli a installare le applicazioni e concedere potenti autorizzazioni di Accessibility.

Mantax Otax è particolarmente distruttivo sui dispositivi con Android 9 o versioni precedenti, dove può criptare i file presenti nella memoria condivisa. Android 10 e versioni successive limitano questa capacità tramite Scoped Storage, ma i dispositivi più recenti restano esposti alle funzioni di spionaggio, acquisizione dello schermo, attivazione della fotocamera e molestia del malware.

L’accesso ad Accessibility trasforma un APK dannoso in uno strumento di controllo remoto

La catena d’infezione richiede che la vittima installi un APK proveniente dall’esterno dello store ufficiale di Android. L’applicazione dannosa chiede quindi l’accesso al servizio Accessibility di Android.

Questa autorizzazione è fondamentale per l’operazione. Le funzioni di Accessibility sono pensate per aiutare gli utenti a interagire con le applicazioni, ma il malware può sfruttarle per osservare i contenuti dell’interfaccia e simulare tocchi, digitazione e navigazione.

Mantax Otax usa questo controllo per raccogliere dati dalle applicazioni ed eseguire azioni che normalmente richiederebbero l’interazione diretta dell’utente. Può accedere ai messaggi, acquisire le informazioni visualizzate sullo schermo e attivare funzioni di sorveglianza seguendo le istruzioni della propria infrastruttura di command and control.

Il malware non si affida esclusivamente a un indirizzo C2 incorporato nell’APK. Recupera invece il dominio dell’infrastruttura corrente da GitHub, offrendo agli operatori la possibilità di cambiare server senza dover necessariamente distribuire una nuova versione del malware.

Dopo la connessione, Mantax Otax invia informazioni sulla vittima e sul dispositivo. La distribuzione dei comandi e le comunicazioni possono quindi avvenire tramite Firebase o WebSockets.

Non sono stati divulgati i nomi esatti dei pacchetti dannosi, i certificati di firma, gli hash, i domini C2 e i messaggi usati per il phishing. Questo limita la possibilità per i difensori di affidarsi esclusivamente a indicatori statici.

La cifratura dei file è più efficace su Android 9 e versioni precedenti

Il componente ransomware cerca nella memoria condivisa determinati tipi di file. Per ogni vittima, ottiene dal server C2 una specifica chiave di cifratura AES e la usa per criptare i file individuati.

Mantax Otax elimina gli originali e aggiunge l’estensione .enc alle copie criptate. Può inoltre sostituire le immagini archiviate sul dispositivo con messaggi di riscatto, rendendo visibile la richiesta estorsiva nell’intera raccolta fotografica della vittima.

Il malware apre quindi un’interfaccia di chat a schermo intero ospitata tramite Firebase. Le vittime possono usare questa interfaccia per comunicare e negoziare direttamente con gli operatori il pagamento del riscatto.

I ricercatori di Zimperium hanno individuato un errore di configurazione nell’infrastruttura Firebase degli aggressori e lo hanno sfruttato per accedere alle conversazioni tra operatori e vittime, esponendo comunicazioni legate alla campagna estorsiva.

Il modulo di cifratura opera su Android 9 e versioni precedenti. I dispositivi con Android 10 e versioni successive beneficiano di Scoped Storage, che limita il modo in cui le applicazioni possono accedere ai file appartenenti ad altre applicazioni e alle posizioni esterne alla directory external-files autorizzata.

Questa protezione riduce sensibilmente la capacità del malware di criptare i file presenti nella memoria condivisa. Non neutralizza però l’infezione.

Sulle versioni più recenti di Android, Mantax Otax può ancora sottrarre informazioni, automatizzare le interazioni, acquisire schermate, attivare le fotocamere e inviare contenuti molesti se ottiene le autorizzazioni necessarie.

La sorveglianza si estende dagli SMS alle fotocamere e agli schermi in tempo reale

Mantax Otax raccoglie un’ampia gamma di informazioni personali e tecniche. Tra le sue capacità rientra il furto di:

• PIN della schermata di blocco del dispositivo.
• Messaggi SMS e password monouso.
• Contatti e registri delle chiamate.
• Cronologia di navigazione.
• Elenchi delle applicazioni installate.
• Informazioni sull’account Google.
• Posizione del dispositivo.
• Identificativo del dispositivo, operatore e versione di Android.

L’accesso ai messaggi SMS e alle password monouso crea rischi che vanno oltre il telefono infetto. I codici sottratti possono aiutare gli aggressori a interferire con gli account il cui processo di autenticazione dipende dai messaggi di testo, mentre un PIN della schermata di blocco acquisito può consentire di mantenere l’accesso al dispositivo.

Il malware può inoltre acquisire profili e messaggi WhatsApp, oltre alle conversazioni Telegram. Usa interazioni basate su Accessibility per navigare ed estrarre i contenuti, invece di affidarsi esclusivamente all’accesso diretto allo spazio di archiviazione delle applicazioni.

Per la sorveglianza visiva, Mantax Otax abusa dell’API MediaProjection di Android. Può acquisire schermate, registrare il display come video MP4 e fornire il monitoraggio dello schermo quasi in tempo reale tramite il servizio di hosting dei file Catbox.

Gli operatori possono inoltre attivare le fotocamere del telefono, scattare fotografie e caricare le immagini risultanti. Un dispositivo compromesso può quindi esporre sia le attività visualizzate sullo schermo sia l’ambiente fisico della vittima.

Queste funzioni rendono la minaccia rilevante anche quando la cifratura dei file non va a buon fine. Un dispositivo con Android 10 o versioni successive può evitare i danni più estesi del ransomware, continuando però a divulgare conversazioni private, credenziali, dati sulla posizione e registrazioni visive.

La versione 2 aggiunge strumenti per intimidire e aumentare la pressione psicologica

La versione 2 di Mantax Otax ha introdotto funzioni pensate per molestare le vittime durante l’estorsione. Il malware può visualizzare ripetutamente finestre di dialogo, forzare la riproduzione di video a schermo intero e sovrapporre rapidamente immagini “jumpscare”.

Gli operatori possono inoltre inviare testi che il dispositivo legge ad alta voce dagli altoparlanti tramite la funzionalità di sintesi vocale. Questo offre all’aggressore un canale diretto e molesto verso l’ambiente della vittima.

Il livello di molestia distingue Mantax Otax dai ransomware Android che si limitano a criptare i file e mostrare una richiesta di pagamento. In questo caso, gli operatori possono combinare informazioni personali sottratte, sorveglianza del dispositivo, interruzioni persistenti e intimidazioni audiovisive.

Questa combinazione può aumentare la pressione sulle vittime, dimostrando che gli aggressori mantengono il controllo del telefono. Significa inoltre che le conseguenze non si limitano alla disponibilità dei dati: anche la privacy, la sicurezza degli account e l’incolumità personale possono essere compromesse.

Non sono state divulgate informazioni sul numero di vittime, sugli importi dei riscatti richiesti, sui metodi di pagamento, sulla data di inizio della campagna o sull’estensione geografica, oltre alla descrizione degli operatori.

Sideloading, richieste di accesso ad Accessibility e file .enc sono segnali d’allarme

La misura preventiva più efficace consiste nell’evitare di installare file APK ricevuti tramite messaggi non richiesti o scaricati da siti web non affidabili. Mantax Otax dipende dalla distribuzione al di fuori di Google Play e richiede che la vittima completi il processo di installazione.

Gli utenti dovrebbero considerare una richiesta inattesa di accesso ad Accessibility un serio campanello d’allarme, soprattutto quando la funzione dichiarata dall’applicazione non giustifica il controllo dei contenuti dello schermo e delle azioni dell’interfaccia.

Tra i possibili segnali di compromissione figurano:

• Un’applicazione sideloaded sconosciuta con accesso ad Accessibility.
• File rinominati inaspettatamente con l’estensione .enc.
• Immagini sostituite da messaggi di riscatto.
• Chat, video, finestre di dialogo o sovrapposizioni di immagini a schermo intero senza una spiegazione.
• Messaggi vocali generati tramite gli altoparlanti del dispositivo.
• Richieste impreviste di registrazione dello schermo o relative a MediaProjection.
• Attività della fotocamera non avviate dall’utente.

Poiché non sono disponibili identificativi dei pacchetti né hash dei file, i team di sicurezza dovrebbero esaminare autorizzazioni e comportamenti, senza aspettare l’individuazione di un unico indicatore noto.

Play Protect blocca la minaccia, ma gli aggiornamenti di Android restano importanti

Zimperium partecipa alla App Defense Alliance di Google e Mantax Otax viene già rilevato e bloccato sui dispositivi Android aggiornati con Google Play Protect attivo.

Gli utenti dovrebbero verificare che Play Protect sia ancora attivo, mantenere aggiornati Android e i suoi componenti di sicurezza e installare applicazioni esclusivamente da sviluppatori affidabili. Le autorizzazioni concesse alle applicazioni dovrebbero essere coerenti con il loro scopo legittimo.

Le organizzazioni che gestiscono flotte di dispositivi Android dovrebbero inoltre monitorare il sideloading e verificare quali applicazioni dispongono dei privilegi di Accessibility. I dispositivi con Android 9 o versioni precedenti sono esposti al rischio maggiore di cifratura dei file e dovrebbero essere aggiornati quando possibile.

Le difese principali sono semplici: evitare gli APK non affidabili, rifiutare le richieste sospette di accesso ad Accessibility, mantenere aggiornate le protezioni di sicurezza e prestare attenzione ai messaggi che tentano di spostare l’installazione del software al di fuori di Google Play.