インドネシアの脅威アクターとの関連が指摘されているこのマルウェアは、ファイルを暗号化する前に機密データを窃取し、内蔵のチャット機能を通じて身代金の支払いを要求するという、深刻な二重恐喝の脅威を構成します。
このマルウェアは、サードパーティのファイル共有サービス上にホストされた悪意のあるAndroid APKとして配布されます。被害者はフィッシングメッセージやソーシャルエンジニアリングの手口、共有リンク、メッセージングプラットフォームなどを通じて、このAPKをサイドロードするよう誘導される可能性があります。この配布手法により、攻撃者は公式アプリストアの審査を回避できます。
インストール後、Mantax OTAXはデバイス管理者権限と、広範囲にわたる危険な権限を要求します。これには、SMSメッセージ、連絡先、音声、画像、そしてアクセシビリティサービスへのアクセスが含まれます。
これらの権限が付与された場合、攻撃者は感染デバイスに対して広範な可視性と制御を得ることになります。
このマルウェアはHTTPS経由でコマンド&コントロール(C2)サーバーと通信します。有効なC2アドレスはGitHubリポジトリから取得する仕組みになっており、あるドメインがブロックされても、運営者はインフラを迅速に切り替えることができます。確認されたC2ドメインの一つはapimantax[.]otax[.]funでした。
デバイス登録時、Mantax OTAXは一意のデバイスID、地理的位置情報、通信事業者の詳細、Androidのバージョンを攻撃者に送信します。その後、Firebaseを基盤としたインフラを通じてコマンドを受信します。
Mantax OTAXはC2サーバーから一意の暗号化キーを取得し、デバイス内の価値あるファイルをスキャンします。
標的となるのは文書、画像、動画、アーカイブ、データベース、暗号鍵などです。Android 9以前のバージョンでは、共有外部ストレージの大部分をAES暗号化により再帰的に暗号化することが可能です。
暗号化されたファイルには.enc拡張子が付与され、元のファイルは削除されます。また、このマルウェアはローカルの画像を「あなたのファイルは暗号化されました。復号するには支払いが必要です」と記載した身代金要求メッセージの画像に置き換えます。
Android 10以降のデバイスでは、Scoped Storageによってマルウェアがユーザーファイルにアクセスできる範囲が制限されるため、ランサムウェア機能による被害を受けにくくなっています。
しかし、危険な権限が付与されてしまった場合、新しいAndroidの保護機能があっても、監視機能や認証情報の窃取、画面ロック機能を防ぐことはできません。
スパイウェア機能も広範囲に及びます。Mantax OTAXは、ブラウザの閲覧履歴、連絡先、通話履歴、SMSメッセージ、通知の内容、インストール済みアプリの一覧、デバイス情報、Googleアカウントの詳細、ギャラリー内のメディア、位置情報を窃取できます。
通知やSMSメッセージを監視することで、多要素認証で使用されるワンタイムパスワードを捕捉する可能性もあります。
アクセシビリティ機能を悪用することで、WhatsAppやTelegramのデータも標的にすることができ、ユーザー操作をシミュレートしてチャット内容やアカウント情報を収集します。
さらに、このマルウェアはAndroidのMediaProjection APIを利用して、スクリーンショットの撮影や画面録画、ほぼリアルタイムでの画面内容のストリーミングも行うことができます。
窃取されたスクリーンショットや動画はCatboxにアップロードされ、そのリンクが攻撃者に送り返される仕組みだと、Zimperiumは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。無害化を元に戻す作業は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/mantax-otax-android-double-extortion/
