Mantax Otax: Android wird von neuer Super-Malware getroffen

Eine neue Android-Schadsoftware namens Mantax Otax verbindet Ransomware mit umfangreichen Spionage- und Fernsteuerungs­funktionen. Die Malware kann Dateien verschlüsseln, Informationen abgreifen und Betroffene gezielt einschüchtern oder belästigen.

Volle Wucht auf altem Android

Nach Angaben des Sicherheitsunternehmens Zimperium wird Mantax Otax von Betreibern aus Indonesien über manipulierte APK-Dateien verbreitet, die außerhalb des Google Play Store angeboten werden. Zum Einsatz kommen dabei unter anderem Phishing-Nachrichten und Social Engineering.

Nach der Installation fordert die Malware Zugriff auf die Android-Bedienungshilfen. Diese Berechtigung ermöglicht der Schadsoftware weitreichende Kontrolle über das Smartphone. Die Adresse ihrer aktuell zuständigen Command-and-Control-Infrastruktur bezieht sie anschließend von GitHub. An den Server werden dann unter anderem Standort, Mobilfunkanbieter, Android-Version und Gerätekennung übermittelt. Befehle können anschließend über Firebase oder WebSockets an das infizierte Gerät geschickt werden.


Die Ransomware-Funktion richtet sich allerdings nur gegen ältere Android-Versionen. Mantax Otax durchsucht den gemeinsamen Speicher und verschlüsselt bestimmte Dateitypen mit einem individuellen AES-Schlüssel, den sie vom Kontroll-Server erhält. Die Originaldateien werden anschließend gelöscht, während die verschlüsselten Kopien die Endung ".enc" erhalten. Zusätzlich ersetzt die Malware vorhandene Bilder durch Lösegeldforderungen und öffnet einen bildschirmfüllenden Chat zur Verhandlung mit den Angreifern. Eine Fehlkonfiguration des Firebase-Servers ermöglichte es Zimperium-Forschern sogar, Gespräche zwischen Tätern und Opfern einzusehen.

Der Grund für die Beschränkung auf ältere Geräte liegt in Android 10. Mit der Einführung von Scoped Storage wurde der Zugriff von Apps auf den externen Speicher deutlich eingeschränkt. Die Verschlüsselungsfunktion von Mantax Otax ist deshalb nur unter Android 9 und älter voll funktionsfähig. Wer also eine halbwegs aktuelle Version des Betriebssystems nutzt, ist nur eingeschränkt betroffen.

Umfassende Spionage

Allerdings besitzt die Schadsoftware auch umfangreiche Spionagefunktionen. Sie kann Bildschirmsperr-PINs abfangen, SMS und Einmalpasswörter auslesen sowie Anruflisten, Kontakte, Browserdaten, installierte Apps, Google-Kontoinformationen und Standortdaten stehlen. Über simulierte Bedienvorgänge lassen sich zudem WhatsApp- und Telegram-Inhalte abgreifen. Mit der MediaProjection-Schnittstelle kann Mantax Otax Screenshots und Videos erstellen oder den Bildschirm nahezu in Echtzeit übertragen. Auch das Anfertigen von Fotos über die Kameras des Smartphones ist möglich.

Eine zweite Version der Malware wurde durch aggressive Einschüchterungsfunktionen ergänzt. Dazu gehören wiederkehrende Dialogfenster, Vollbildvideos, plötzlich eingeblendete Bilder und ferngesteuerte Sprachausgaben. Damit soll zusätzlicher Druck entstehen, damit Betroffene das geforderte Lösegeld zahlen.

Aktuelle Android-Geräte mit aktiviertem Play Protect erkennen und blockieren Mantax Otax laut Zimperium bereits. Nutzer sollten dennoch keine APKs aus unbekannten Quellen installieren und verdächtigen Apps insbesondere keinen Zugriff auf die Bedienungshilfen gewähren.

Siehe auch: