Mantax Otaxと呼ばれる新種のAndroidマルウェアが、ランサムウェアとスパイウェアの機能を組み合わせ、ファイルの暗号化や機密データの窃取、さらには被害者へのスパム送信や嫌がらせを行っていることが分かりました。
インドネシアの攻撃者グループは、Google Play以外でホストされている悪意あるAPKを通じてこのマルウェアを配布し、フィッシングやソーシャルエンジニアリングのメッセージでユーザーを狙っています。
インストール後、このマルウェアはアクセシビリティサービスの利用許可を要求します。これにより、感染端末に対する広範な制御権限を獲得します。
続いて、GitHubから指令サーバー(C2)のドメイン情報を取得し、位置情報、通信キャリア、Androidバージョン、デバイスIDといった被害者の情報を送り返します。C2はFirebaseやWebSocketsを通じてコマンドを送信し、実行させることができます。
Zimperiumによると、インドネシアの攻撃者グループは、Androidの公式アプリストアであるGoogle Play以外でホストされている悪意あるAPKを通じてこのマルウェアを配布しており、フィッシングやソーシャルエンジニアリングのメッセージで被害者を標的にしているとのことです。
旧世代Androidの暗号化
モバイルセキュリティ企業Zimperiumによると、Mantax Otaxは旧バージョンのAndroidを実行している端末を暗号化します。共有ストレージを検索し、C2サーバーから取得した被害者固有のAES鍵を使って、対象となるファイル種別を暗号化します。
このマルウェアはその後、元のファイルを削除し、暗号化されたコピーに「.enc」拡張子を付加します。
Mantax Otaxはまた、端末内の画像を身代金要求通知に置き換え、身代金支払いの交渉を進めるためにFirebaseでホストされた全画面チャットを開きます。
Zimperiumの研究者は、Firebase製C2サーバーの設定不備を悪用することに成功し、攻撃者と被害者との間のチャット内容を暴くことができました。
Mantax Otaxのランサムウェアモジュールは、バージョン9以前のAndroid端末に対してのみ動作します。これは、Android 10以降で導入された「スコープドストレージ」というセキュリティ・プライバシー機能により、暗号化できる範囲が外部ファイルディレクトリに大きく制限されるためです。
スパイ活動、スパム送信、嫌がらせ
Mantax Otaxには、ランサムウェア機能に加えて、スパイウェア、遠隔操作、嫌がらせの機能も搭載されています。
研究者らの指摘によると、このマルウェアは持続的なアクセスを維持するためにロック画面のPINを盗み出すほか、SMSやワンタイムパスワードの読み取り、通話履歴、連絡先、閲覧履歴、アプリ一覧、Googleアカウント情報、位置情報へのアクセスも可能とのことです。
アクセシビリティサービスを通じた模擬操作を用いることで、WhatsAppのプロフィールやメッセージ、さらにはTelegramのチャットも抽出できます。
加えて、AndroidのMediaProjection APIを悪用してスクリーンショットの撮影やMP4動画の録画を行うほか、Catboxファイルホスティングサービスを介して被害者の画面をほぼリアルタイムでストリーミング配信します。
Mantax Otaxは、感染端末のカメラを使って写真を撮影し、攻撃者側にアップロードすることも可能です。
このマルウェアのバージョン2では、繰り返し表示されるダイアログボックス、全画面動画、高速で切り替わる「ジャンプスケア」画像オーバーレイ、端末スピーカーから再生される遠隔操作のテキスト読み上げメッセージといった嫌がらせ機能が追加されました。
こうした追加機能は攻撃に威圧的な要素を加えるもので、被害者に身代金を支払わせるための圧力手段として機能します。
ZimperiumはApp Defense Alliance(ADA)を通じたGoogleのセキュリティパートナーであるため、Mantax Otaxは最新の状態に保たれ、Play Protectサービスが有効なAndroid端末では既に検知・ブロックされています。
ユーザーには一般的に、Google Play以外からAPKをインストールしないこと、疑わしいアプリにアクセシビリティ権限を与えないこと、信頼できる発行元のみを利用することが推奨されています。
