Специалисты по кибербезопасности из компании Zimperium обнаружили ранее неизвестный штамм вредоносного ПО под названием Mantax Otax. Особенность этого инструмента заключается в том, что он сочетает в себе функции классического шпиона (инфостилера), бэкдора, трояна удаленного доступа (RAT) и программы-вымогателя. По словам экспертов, столь комплексный подход к мобильным угрозам встречается крайне редко.
Особенности распространения и целевая аудитория
Разработчиками Mantax Otax, предположительно, является группа злоумышленников из Индонезии, нацеленная на пользователей в этом регионе. Тем не менее, точные масштабы заражений и профиль типичной жертвы — будь то корпоративный сектор или частные лица — пока остаются предметом изучения. Вредоносное ПО распространяется в виде отдельных APK-файлов через сторонние магазины приложений, Telegram-каналы, профильные форумы и социальные сети. В официальных репозиториях, включая Google Play Store и Samsung Galaxy Store, следов Mantax Otax не обнаружено. Также не исключена вероятность распространения угрозы через фишинговые электронные письма.
Основной удар приходится на владельцев устаревших смартфонов под управлением Android 9 и более старых версий операционной системы. На таких устройствах вредоносное ПО способно использовать все доступные функции. В отношении устройств с Android 10 и новее эффективность вируса существенно ниже из-за ограничений Scoped Storage. Встроенные механизмы песочницы ОС ограничивают возможности шифровальщика, позволяя ему сканировать только локализованные внешние файлы приложения, что значительно сокращает радиус поражения.
Механизмы атаки и функциональные возможности
Для активации вредоносных функций Mantax Otax требует от пользователя предоставления широкого спектра прав. Сначала запрашиваются административные привилегии, после чего вирус получает доступ к SMS, контактам, аудиозаписям и изображениям. Затем программа запрашивает права доступа (accessibility permissions), что фактически позволяет злоумышленникам взять управление устройством под полный контроль.
Сбор данных и удаленный мониторинг
Список похищаемой информации включает в себя:
- историю браузера, контакты и журналы вызовов;
- текстовые сообщения, уведомления и данные Google-аккаунта;
- файлы, медиаконтент из галереи и данные о местоположении;
- характеристики устройства и списки установленных приложений;
- данные из мессенджеров WhatsApp (сообщения и профили) и Telegram (включая PIN-коды экрана блокировки).
Помимо кражи данных, Mantax Otax работает как инструмент для удаленного наблюдения. Он способен создавать скриншоты, записывать активность экрана или вести прямую трансляцию изображения в реальном времени. Вирус может использовать как фронтальную, так и основную камеры устройства.
Функции вымогательства и эволюция кода
После завершения сбора данных вредоносное ПО переходит к этапу вымогательства. Пользовательские файлы шифруются с использованием алгоритма AES, оригиналы удаляются, а к файлам добавляется расширение .enc. Жертве демонстрируется интерфейс чата для прямой связи с хакерами, где происходит обсуждение суммы выкупа за возврат доступа к данным.
Разработка инструмента ведется непрерывно. Исследователи Zimperium выявили уже две версии Mantax Otax, вторая из которых является эволюцией первой. В обновленной версии хакеры модифицировали поведение сетевого трафика, внедрив использование WebSockets и добавив ряд новых команд для управления устройством.
Технические нюансы защиты и векторы контроля
Важно подчеркнуть, что защита от Mantax Otax обеспечивается не только на уровне самой операционной системы, но и при использовании специализированных решений для обеспечения безопасности мобильных устройств. Исследователи отмечают, что пользователи, применяющие продукты Zimperium Mobile Threat Defense (MTD) и решение для защиты приложений в реальном времени zDefend, находятся под надежной программной защитой. Это критически важный аспект, учитывая, что угроза активно развивается и адаптируется к современным контрмерам.
Особенности работы с правами доступа
Аналитики Zimperium отдельно акцентируют внимание на психологии взаимодействия вредоносного ПО с пользователем. Успех Mantax Otax во многом зависит от обмана жертвы на этапе установки. После запуска приложение инициирует цепочку запросов, которые выглядят как стандартная настройка системы, но на деле ведут к полной компрометации устройства. Получение прав администратора становится «ключом» ко всем дальнейшим манипуляциям: именно этот шаг открывает доступ к глубокой интеграции с системными процессами, что позволяет вирусу скрытно манипулировать данными и обходить ограничения на уровне отдельных приложений.
Эволюция функционала и сетевого взаимодействия
Хотя в текущих версиях Mantax Otax исследователи не зафиксировали функций записи аудио через микрофон, наблюдаемая динамика развития кода вызывает серьезные опасения. Переход на использование WebSockets в новейшей версии вредоносного ПО свидетельствует о стремлении авторов к созданию более стабильных и скрытных каналов связи с командными серверами (C2). Подобная архитектура значительно усложняет анализ сетевого трафика и позволяет операторам вируса передавать новые команды в режиме реального времени, адаптируя действия вредоноса под конкретную среду или устройство.
Бизнес-риски и сложности атрибуции
Несмотря на то что многие типы вымогательского ПО традиционно ориентированы на корпоративный сектор из-за масштабов потенциального ущерба от сбоев в бизнес-процессах, Mantax Otax остается «универсальной» угрозой. Поскольку на данный момент экспертам не удалось установить, какие именно приложения или бренды имитирует вредоносная программа для маскировки (под видом чего она распространяется), сложно с точностью определить основную целевую группу. Отсутствие данных о том, направлена ли кампания на бизнес-пользователей или на массовый сегмент частных лиц, делает Mantax Otax опасным инструментом, чьи жертвы выбираются хакерами случайным или оппортунистическим путем.
