Die Androida-Malware Mantax Otax kombiniert Ransomware und Spyware in einer einzigen Bedrohung: Sie verschlüsselt Dateien, stiehlt vertrauliche Daten und setzt ihre Opfer zusätzlich mit massiven Belästigungsfunktionen unter Druck. Die indonesischen Betreiber verbreiten die Schadsoftware über manipulierte APKs außerhalb des Google Play Store und nutzen dabei gezielt Phishing- und Social-Engineering-Nachrichten, um Nutzer zur Installation zu bewegen.
Was ist Mantax Otax?
Mantax Otax ist eine Android-Malware, die Erpressung und Überwachung vereint. Sie dringt über bösartige Installationspakete in das System ein und fordert nach der Ausführung die Berechtigung zur Nutzung des Accessibility-Dienstes. Dieser Dienst ist eigentlich für die Bedienung von Android-Geräten mit eingeschränkter Motorik gedacht, verschafft der Malware aber nahezu uneingeschränkte Kontrolle über das infizierte Smartphone.
Sobald die Berechtigung erteilt ist, ruft die Malware die Domain ihrer Command-and-Control-Infrastruktur (C2) von GitHub ab und übermittelt Informationen über das Opfer: Standort, Mobilfunkanbieter, Android-Version und Geräte-ID. Anschließend kann der C2-Server über Firebase oder WebSockets Befehle an das Gerät senden und dort ausführen.
Mantax Otax verschlüsselt ältere Android-Geräte
Das Ransomware-Modul der Malware zielt auf Geräte mit Android 9 oder älteren Versionen. Die Begründung liegt in einer Android-Sicherheitsfunktion: Ab Android 10 schränkt „Scoped Storage“ den Zugriff von Apps auf den gemeinsamen Speicher erheblich ein. Dadurch lässt sich die Dateiverschlüsselung nur noch auf das externe App-Verzeichnis anwenden, was den Schaden für das Opfer deutlich begrenzt. Auf älteren Systemen hingegen durchsucht Mantax Otax den gesamten Shared Storage nach ausgewählten Dateitypen und verschlüsselt diese mit einem AES-Schlüssel, den der C2-Server individuell für jedes Opfer generiert.
Nach der Verschlüsselung löscht die Malware die Originaldateien und hängt an die verschlüsselten Dateien die Endung „.enc“ an. Parallel ersetzt Mantax Otax auf dem Gerät gespeicherte Bilder durch Lösegeldhinweise und öffnet einen Vollbild-Firebase-Chat, über den die Täter mit ihren Opfern verhandeln. Bemerkenswert: Sicherheitsforscher von Zimperium entdeckten eine Fehlkonfiguration des Firebase-C2-Servers, die es ihnen erlaubte, die Gespräche zwischen Angreifern und Betroffenen einzusehen.
Spyware-Modul: Umfassender Datenklau auf dem Smartphone
Über die Verschlüsselung hinaus sammelt Mantax Otax eine breite Palette sensibler Daten. Die Malware ist in der Lage, Sperrbildschirm-PINs abzugreifen, um dauerhaft auf das Gerät zugreifen zu können. Sie liest SMS-Nachrichten und Einmalpasswörter (OTP), die für Zwei-Faktor-Authentifizierungen genutzt werden, und ruft Anrufprotokolle, Kontakte, Browserverlauf, installierte Apps, Google-Kontoinformationen sowie den Standort des Nutzers ab.
Besonders perfide ist der Zugriff auf Messenger-Inhalte: Über simulierte Interaktionen mit dem Accessibility-Dienst extrahiert die Malware WhatsApp-Profile und Chatverläufe sowie Telegram-Konversationen. Zusätzlich missbraucht sie die MediaProjection-API von Android, um Screenshots aufzunehmen, MP4-Videos vom Bildschirm zu erstellen und den Bildschirm nahezu in Echtzeit über den Dateihosting-Dienst Catbox zu streamen. Sogar die Kameras des infizierten Geräts kann Mantax Otax fernsteuern, um Fotos aufzunehmen und an die Betreiber zu übertragen.
Belästigung als Druckmittel in Version 2
Mit Version 2 der Malware haben die Entwickler eine weitere Komponente hinzugefügt: Belästigungsfunktionen, die das Opfer gezielt unter Druck setzen sollen. Dazu gehören wiederholt eingeblendete Dialogfenster, vollflächige Videos, schnelle „Jumpscare“-Bilder und ferngesteuerte Text-to-Speech-Nachrichten, die über die Lautsprecher des Geräts abgespielt werden.
Diese Elemente wirken wie ein Wecker, der nicht abgeschaltet werden kann. Sie sollen die psychische Belastung erhöhen und das Opfer dazu bewegen, schneller auf die Lösegeldforderung einzugehen. Die Kombination aus Datenverschlüsselung, Diebstahl intimer Informationen und offener Belästigung macht Mantax Otax zu einer besonders aggressiven Bedrohung für mobile Endgeräte.
Wie schützt man sich vor Mantax Otax?
Für Anwender ist die wichtigste Maßnahme, keine APKs aus unbekannten Quellen zu installieren. Google Play ist zwar nicht vollständig frei von Schadsoftware, aber das Risiko ist dort deutlich geringer. Zudem sollte man Apps, die den Accessibility-Dienst verlangen, besonders kritisch prüfen, da dieser weitreichende Rechte gewährt. Nur vertrauenswürdigen Publishern sollte man solche Berechtigungen erteilen.
Auf aktuellen Android-Geräten mit aktivem Play-Protect-Dienst wird Mantax Otax bereits erkannt und blockiert, da Zimperium über die App Defense Alliance (ADA) ein Sicherheitspartner von Google ist. Wer ein älteres Gerät ohne Updates betreibt, sollte sich bewusst sein, dass es weiterhin ein attraktives Ziel für derartige Hybrid-Malware bleibt.
Die Entwicklung von Mantax Otax zeigt, wie Angreifer klassische Ransomware mit Spionagefunktionen und psychologischen Druckmitteln kombinieren. Künftig dürften ähnliche Schadprogramme zunehmen, die nicht nur Daten sperren, sondern auch die Privatsphäre der Opfer aushebeln. Umso wichtiger ist ein bewusster Umgang mit App-Berechtigungen und die regelmäßige Kontrolle installierter Anwendungen.
