Se ha descubierto una nueva amenaza para Android llamada Mantax Otax, un malware que combina el ransomware con el espionaje. Este programa infecta a los usuarios que instalan aplicaciones desde enlaces no confiables, permitiéndole bloquear archivos, grabar la pantalla, interceptar códigos de verificación y utilizar las cámaras del dispositivo sin consentimiento, provocando una crisis tanto de extorsión como de privacidad.

Una amenaza de Android recientemente descubierta combina el ransomware con el espionaje, creando una trampa para las personas que instalan aplicaciones desde enlaces no confiables.

Llamado Mantax Otax, el malware puede bloquear archivos, vigilar la pantalla, interceptar códigos de verificación y utilizar secretamente las cámaras del teléfono, convirtiendo una sola infección tanto en una crisis de extorsión como de privacidad.

La campaña parece estar construida en torno a paquetes de aplicaciones de Android independientes, o APK, alojados en servicios de intercambio de archivos de terceros.

Puedes ser conducido a ellos a través de enlaces compartidos, aplicaciones de mensajería o mensajes de phishing, y luego ser persuadido para instalar la aplicación fuera de la tienda oficial.

Sus investigadores vincularon la actividad con actores de amenazas indonesios y encontraron pistas lingüísticas y archivos de víctimas que sugieren un enfoque en Indonesia. El descubrimiento muestra cómo los criminales móviles están reuniendo la vigilancia, el robo de cuentas y el cifrado de archivos en un solo paquete.

Zimperium dijo en un informe que el impacto puede ir mucho más allá de perder el acceso a fotos o documentos.

Las contraseñas temporales (OTP) de SMS robadas, los chats y los PIN de bloqueo de pantalla pueden dar a los criminales la información necesaria para entrar en tus cuentas o presionarte. La combinación se asemeja a otras campañas de robo de OTP de Android que convierten un teléfono comprometido en una herramienta de toma de control de cuentas.

Nuevo Ransomware de Android

Después de la instalación, Mantax Otax solicita derechos de administrador del dispositivo y luego busca acceso a SMS, contactos, audio e imágenes.

Finalmente solicita acceso de Accesibilidad, una función legítima de Android diseñada para ayudar a los usuarios pero que puede ser abusada para leer el contenido de la pantalla y realizar acciones. Esta ruta de permisos también es central para la amenaza bancaria de Android Crocodilus.

En Android 9 y versiones anteriores, el ransomware busca imágenes, videos, documentos y claves criptográficas en el almacenamiento externo compartido.

Cifra los archivos seleccionados con AES, elimina los originales y añade la extensión .enc a los reemplazos. También sobrescribe las imágenes locales con un aviso de rescate informándote que tus archivos fueron cifrados y que debes pagar por ellos.

El daño es más limitado en Android 10 y versiones posteriores porque el Almacenamiento Limitado (Scoped Storage) restringe la aplicación principalmente a su propia área de archivos externos.

Sin embargo, esa restricción no elimina el peligro de vigilancia. Tras el cifrado, el malware puede mostrar una función de chat en pantalla que permite a los atacantes negociar un rescate directamente, creando condiciones para una doble extorsión.

Mantax Otax también abusa de la función MediaProjection de Android para tomar capturas de pantalla, grabar la pantalla en video MP4 y transmitir el contenido de la pantalla casi en tiempo real.

Las capturas de pantalla capturadas se suben a Catbox antes de que las URL asociadas regresen a los operadores. Un abuso similar de visualización de pantalla apareció en la reciente campaña móvil StreamRAT, donde los operadores podían observar y manipular los teléfonos de las víctimas.

El componente de espionaje puede, además, abrir cualquiera de las cámaras a través de una superficie de vista previa oculta y tomar fotografías sin interacción visible. La imagen es comprimida, almacenada localmente, codificada y enviada al atacante.

El Robo de OTP Aumenta los Riesgos de Cuenta

El malware recopila contactos, registros de llamadas, historial del navegador, datos de ubicación, aplicaciones instaladas, información del dispositivo, configuración de la cuenta de Google vinculada y archivos de la galería.

Monitorea las notificaciones y los mensajes SMS entrantes, poniendo en riesgo los códigos de autenticación de múltiples factores. También apunta a perfiles y mensajes de WhatsApp, además de credenciales e historial de chat de Telegram, utilizando clics impulsados por Accesibilidad para abrir conversaciones.

Una superposición falsa de bloqueo del sistema añade otra ruta para el robo de credenciales. Mantax Otax se presenta como un proceso de bloqueo necesario, bloquea el acceso y captura el PIN que tú ingreses.

Su segunda versión añade comunicaciones WebSocket, bloqueo de aplicaciones, una capa transparente que absorbe la entrada táctil, ventanas emergentes disruptivas, superposiciones de video a pantalla completa y mensajes remotos de texto a voz.

La defensa práctica comienza antes de que instales una aplicación. Debes evitar las APK promovidas a través de mensajes no solicitados, publicaciones sociales y enlaces de intercambio de archivos desconocidos, e instalar software a través de tiendas confiables.

Debes rechazar los permisos de Accesibilidad, administrador, SMS, captura de pantalla o cámara que no coincidan con el propósito de una aplicación, una precaución reforzada por los informes sobre aplicaciones falsas de Android que roban PINs.

Cualquiera que vea una pantalla de bloqueo desconocida, una superposición persistente o una solicitud de permiso inesperada debe desconectar el teléfono de las redes y buscar soporte confiable antes de ingresar contraseñas o PINs.

Las organizaciones deben vigilar los dispositivos gestionados en busca de aplicaciones instaladas lateralmente, activación inusual de Accesibilidad, solicitudes de captura de pantalla y tráfico saliente inesperado.

Tipo	Indicador	Descripción
Dominio C2	hxxps://apimantax[.]otax[.]fun	Dominio activo de comando y control recuperado dinámicamente por Mantax Otax desde un repositorio de GitHub.

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/new-android-ransomware/