Malware Android Mantax Otax Enkripsi File, Curi Data, dan Teror Korban

Sebuah malware Android baru bernama Mantax Otax menggabungkan kemampuan ransomware dan spyware untuk menyerang perangkat korban. Malware ini tidak hanya mengenkripsi file dan mencuri data sensitif, tetapi juga dapat mengambil alih sejumlah fungsi perangkat serta meneror korban untuk meningkatkan tekanan agar mereka membayar tebusan.

Menurut perusahaan keamanan mobile Zimperium, malware tersebut dioperasikan oleh pelaku yang berasal dari Indonesia dan disebarkan melalui APK berbahaya di luar Google Play. Distribusinya memanfaatkan phishing dan social engineering untuk membujuk pengguna memasang aplikasi berbahaya.

Setelah terinstal, Mantax Otax meminta akses ke Accessibility service. Jika izin tersebut diberikan, malware memperoleh kendali luas terhadap perangkat dan dapat menjalankan berbagai aktivitas secara otomatis.

Malware Menggunakan GitHub dan Firebase sebagai Infrastruktur C2

Setelah mendapatkan akses pada perangkat, Mantax Otax mengambil domain command-and-control (C2) dari GitHub.

Malware kemudian mengirimkan informasi mengenai korban kepada server tersebut, termasuk:

• Lokasi perangkat
• Operator seluler
• Versi Android
• Device ID

Infrastruktur C2 dapat mengirimkan command kepada perangkat melalui Firebase maupun WebSockets, sehingga operator dapat menjalankan berbagai fungsi malware dari jarak jauh.

Penggunaan layanan seperti GitHub dan Firebase juga dapat membantu menyamarkan sebagian infrastruktur malware karena memanfaatkan layanan internet yang secara umum dipercaya dan digunakan secara luas.

Mengenkripsi File pada Android Versi Lama

Kemampuan ransomware Mantax Otax terutama ditujukan kepada perangkat yang menggunakan Android 9 atau versi lebih lama.

Malware mencari file tertentu pada shared storage dan mengenkripsinya menggunakan AES key khusus untuk setiap korban yang diperoleh dari server C2.

Setelah proses enkripsi selesai, file asli dihapus dan salinan terenkripsi diberi ekstensi .enc.

Mantax Otax kemudian mengganti gambar yang tersimpan secara lokal dengan pesan ransom. Malware juga dapat membuka tampilan chat fullscreen yang di-host melalui Firebase untuk memfasilitasi komunikasi dan negosiasi pembayaran tebusan.

Menariknya, peneliti Zimperium berhasil menemukan misconfiguration pada Firebase C2 milik operator. Kesalahan konfigurasi tersebut membuat komunikasi antara penyerang dan korban dapat terekspos kepada peneliti.

Scoped Storage Membatasi Ransomware di Android Baru

Mantax Otax tidak dapat melakukan enkripsi file secara efektif pada semua versi Android.

Modul ransomware hanya berjalan pada Android 9 dan versi sebelumnya. Mulai Android 10, fitur keamanan dan privasi Scoped Storage membatasi kemampuan aplikasi dalam mengakses penyimpanan eksternal.

Akibatnya, pada perangkat Android 10 atau lebih baru, kemampuan malware untuk mengenkripsi file menjadi jauh lebih terbatas dan hanya dapat menjangkau direktori external-files tertentu.

Namun, fitur spyware dan remote control Mantax Otax tetap menjadi ancaman karena tidak bergantung sepenuhnya pada kemampuan enkripsi file.

Mencuri PIN, SMS, dan Data Pribadi

Selain ransomware, Mantax Otax memiliki kemampuan spyware yang cukup luas.

Dengan memanfaatkan Accessibility service, malware dapat mencuri PIN lock screen untuk mempertahankan akses terhadap perangkat korban.

Malware juga mampu mengakses:

• SMS dan one-time password (OTP)
• Call logs
• Kontak
• Riwayat browsing
• Daftar aplikasi
• Informasi akun Google
• Lokasi perangkat

Kemampuan mencuri OTP menjadi perhatian khusus karena informasi tersebut dapat digunakan untuk mengambil alih akun atau melewati lapisan autentikasi tertentu.

WhatsApp dan Telegram Juga Menjadi Sasaran

Mantax Otax dapat mengambil informasi dari aplikasi komunikasi populer seperti WhatsApp dan Telegram.

Malware memanfaatkan Accessibility service untuk melakukan interaksi yang disimulasikan pada aplikasi. Dengan cara tersebut, operator dapat mengambil profil serta pesan WhatsApp dan membaca chat Telegram.

Teknik ini menunjukkan bahwa Accessibility service dapat menjadi target berharga bagi malware karena izin tersebut memberikan kemampuan untuk berinteraksi dengan antarmuka aplikasi lain tanpa membutuhkan akses langsung ke database internal aplikasi.

Bisa Mengambil Screenshot dan Merekam Layar

Mantax Otax juga menyalahgunakan MediaProjection API Android untuk menangkap aktivitas visual korban.

Malware dapat:

• Mengambil screenshot
• Merekam video dalam format MP4
• Melakukan streaming layar korban hampir secara real time

Video maupun hasil tangkapan layar kemudian dapat dikirim ke operator menggunakan layanan file hosting Catbox.

Selain merekam layar, malware juga dapat menggunakan kamera perangkat yang terinfeksi untuk mengambil foto dan mengunggahnya ke operator.

Dengan kombinasi tersebut, Mantax Otax pada dasarnya dapat mengubah smartphone korban menjadi perangkat pengawasan yang dikendalikan dari jarak jauh.

Versi 2 Menambahkan Fitur untuk Meneror Korban

Versi kedua Mantax Otax menambahkan sejumlah kemampuan yang secara khusus dirancang untuk mengintimidasi dan mengganggu korban.

Malware dapat menampilkan dialog berulang kali, menjalankan video fullscreen, serta menampilkan gambar jumpscare secara cepat di layar.

Operator juga dapat mengirim pesan melalui text-to-speech yang kemudian diputar melalui speaker perangkat.

Fitur-fitur tersebut bukan sekadar gangguan teknis. Menurut temuan peneliti, fungsi tersebut menambahkan unsur intimidasi untuk meningkatkan tekanan psikologis terhadap korban agar segera membayar ransom.

Dengan demikian, Mantax Otax menggabungkan pencurian data, penguncian file, pengawasan perangkat, dan harassment dalam satu paket serangan.

Perangkat dengan Play Protect Aktif Sudah Terlindungi

Zimperium merupakan salah satu partner keamanan Google melalui App Defense Alliance (ADA). Karena itu, Mantax Otax telah terdeteksi dan diblokir oleh perangkat Android terbaru yang menjalankan Google Play Protect dalam kondisi aktif.

Meski demikian, pengguna tetap disarankan tidak memasang APK dari sumber yang tidak terpercaya.

Untuk mengurangi risiko serangan serupa, pengguna sebaiknya:

• Menghindari pemasangan APK dari luar Google Play
• Tidak memberikan Accessibility permission kepada aplikasi yang mencurigakan
• Memeriksa reputasi publisher sebelum memasang aplikasi
• Membiarkan Google Play Protect tetap aktif
• Berhati-hati terhadap pesan phishing yang meminta pemasangan aplikasi

Kasus Mantax Otax menunjukkan bahwa ancaman Android saat ini tidak hanya berfokus pada pencurian data. Dengan menggabungkan ransomware, spyware, remote control, serta fitur intimidasi, malware tersebut dapat memberikan kendali yang sangat luas kepada operator atas perangkat korban.

Sumber: Zimperium