新型 Android 恶意软件加密文件、窃取数据并骚扰受害者

一种名为 Mantax Otax 的新型 Android 恶意软件株系将勒索软件和间谍软件能力结合在一起，以加密文件、窃取敏感数据以及向受害者发送垃圾信息和进行骚扰。

印度尼西亚运营者通过托管在 Google Play 之外的恶意 APK 分发该恶意软件，使用钓鱼和社会工程信息锁定用户。

安装后，该恶意软件请求使用无障碍 (Accessibility) 服务的权限，这使其对被攻陷设备拥有广泛的控制权。

接下来，它从 GitHub 获取其命令与控制 (C2) 基础设施域名，并回传受害者的详细信息，如位置、运营商、Android 版本和设备 ID。C2 可通过 Firebase 或 WebSockets 发送命令以供执行。

据 Zimperium 称，印度尼西亚运营者通过托管在 Google Play（Android 官方应用商店）之外的恶意 APK 分发该恶意软件，使用钓鱼和社会工程信息锁定受害者。

加密较旧的 Android 设备

据移动安全公司 Zimperium 称，Mantax Otax 对运行较旧 Android 版本的设备进行加密。它搜索共享存储，并使用从 C2 服务器获取的特定于受害者的 AES 密钥对目标文件类型进行加密。

该恶意软件随后删除原始文件，并为加密副本添加 ".enc" 扩展名。

Mantax Otax 还会用勒索通知替换本地图像，并打开一个由 Firebase 托管的全屏聊天界面，以便进行赎金支付谈判。

Zimperium 研究人员能够利用 Firebase C2 服务器中的一个错误配置，该配置暴露了攻击者与受害者的聊天记录。

Mantax Otax 的勒索软件模块仅对运行 Android 9 或更早版本的设备运行，因为 Android 10 及更高版本中的 "Scoped Storage"（分区存储）安全和隐私功能将加密能力大幅限制在外部文件目录中。

监视、发送垃圾信息和骚扰

除勒索软件外，Mantax Otax 还包含间谍软件、远程控制和骚扰功能。

研究人员指出，该恶意软件可以窃取锁屏 PIN 以维持持久访问，读取短信和一次性密码，访问通话记录、联系人、浏览历史、应用列表、Google 账户信息和位置。

它还可以通过无障碍服务的模拟交互，提取 WhatsApp 个人资料和消息，以及 Telegram 聊天记录。

此外，它滥用 Android 的 MediaProjection API 来捕获屏幕截图、录制 MP4 视频，并通过 Catbox 文件托管服务近实时地流式传输受害者的屏幕。

Mantax Otax 还可以使用受感染设备的摄像头拍摄照片并将其上传给运营者。

该恶意软件的第 2 版增加了骚扰功能，如重复的对话框、全屏视频、快速的"惊吓"图像覆盖层，以及通过设备扬声器播放的远程控制文字转语音消息。

这些附加功能为攻击增加了恐吓成分，作为迫使受害者支付赎金的施压机制。

由于 Zimperium 是通过 App Defense Alliance (ADA) 的 Google 安全合作伙伴，Mantax Otax 已被运行最新版本且启用了 Play Protect 服务的 Android 设备检测并拦截。

通常建议用户不要安装来自 Google Play 之外的 APK，不要向可疑应用授予无障碍权限，并且只信任信誉良好的发布者。