Como remover o Mantax Otax de dispositivos Android

Que tipo de malware é o Mantax Otax?

Mantax Otax é um ransomware para Android com funcionalidades de spyware integradas, direcionado a utilizadores na Indonésia. Encripta ficheiros no dispositivo, bloqueia o ecrã e força as vítimas a iniciar uma conversa com os atacantes, enquanto rouba discretamente mensagens, fotografias, palavras-passe e outros dados pessoais. O malware foi analisado pela primeira vez pela equipa zLabs da Zimperium.

Visão geral do malware Mantax Otax

O Mantax Otax está associado a atores de ameaças indonésios, e foram encontradas duas versões até agora, sendo a segunda uma evolução da primeira. Pistas linguísticas e ficheiros recuperados das vítimas mostram que os operadores se concentram em utilizadores indonésios.

Logo após a instalação, o malware pede direitos de administrador do dispositivo. O pedido de administrador enumera abertamente capacidades como apagar todos os dados, alterar o bloqueio de ecrã, bloquear o ecrã e desativar câmaras. Depois, solicita acesso à câmara, mensagens SMS, contactos, áudio e imagens, juntamente com permissão para apresentar conteúdo sobre outras aplicações.

O último passo é um pedido de acesso aos Serviços de Acessibilidade, apresentado como uma janela pop-up em indonésio que pede à vítima para ativar tanto a Acessibilidade como o acesso a notificações. Uma vez concedido, isto dá aos atacantes um amplo controlo sobre o dispositivo, incluindo a capacidade de ler o que está no ecrã e tocar em nome da vítima.

O Mantax Otax comunica com o seu servidor de comando e controlo (C2) através de HTTPS. Em vez de armazenar o endereço do servidor no seu código, obtém o domínio atual (apimantax[.]otax[.]fun) a partir de um repositório do GitHub. Isto permite aos operadores mudar para um novo servidor sempre que o antigo é bloqueado, sem terem de atualizar o próprio malware.

O malware atribui então ao dispositivo um ID único e regista-o no servidor. Os dados de registo incluem o modelo e o fabricante do telefone, a versão do Android, o país, a operadora móvel e até se foi definido um PIN de bloqueio de ecrã. Depois disso, aguarda comandos, que são entregues através do Firebase.

Para a parte do ransomware, o Mantax Otax solicita uma chave de encriptação ao servidor C2. Cada chave está associada ao Android ID da vítima, pelo que cada dispositivo infetado recebe uma diferente. O malware procura então fotografias, vídeos, documentos, arquivos, bases de dados e ficheiros de chaves criptográficas, bloqueia-os com encriptação AES e elimina os originais.

Os ficheiros encriptados mantêm o seu nome original com .enc adicionado ao fim (por exemplo, sample_image.jpg.enc). Algumas imagens também são substituídas por cópias alteradas com a mensagem "Your files have been encrypted. Pay to decrypt." No teste da Zimperium, as miniaturas da galeria transformaram-se em ícones de ficheiros em branco, com uma imagem substituída por texto de resgate a vermelho.

O grau de dano que isto causa depende da versão do Android. No Android 9 ou mais antigo, o malware vasculha todo o armazenamento partilhado, ignorando apenas as pastas do sistema que precisa de deixar em paz para evitar bloquear o telefone. O Android 10 e mais recente usam uma proteção chamada Scoped Storage, que confina o malware à sua própria pasta de aplicação e limita muito o número de ficheiros que consegue alcançar.

Concluída a encriptação, uma janela de conversação em ecrã inteiro intitulada SYSTEM PROTECTED assume o ecrã, e o atacante aparece nela como Mantax Bro!!. É aqui que as vítimas são instruídas a negociar um pagamento. Devido a uma má configuração do servidor Firebase pelos operadores, a Zimperium conseguiu ler estas conversas, incluindo mensagens de vítimas a implorar para recuperarem os seus ficheiros.

Combinado com o roubo de dados descrito abaixo, isto coloca as vítimas numa situação de dupla extorsão, em que tanto os seus ficheiros como as suas informações pessoais estão nas mãos dos atacantes.

O Mantax Otax também pode bloquear o telefone atrás de um ecrã de bloqueio de sistema falso. Uma versão apresenta SYSTEM PROTECTED, alega que o dispositivo está sob um bloqueio administrativo e ostenta a marca Manta X2 Elite Security, enquanto outra está escrita em indonésio. Ambas pedem um PIN, pelo que as vítimas acabam por entregar o seu verdadeiro código de bloqueio de ecrã diretamente aos atacantes.

O lado do spyware é igualmente vasto. Ao abusar da funcionalidade integrada de gravação de ecrã do Android (a API MediaProjection), o malware pode tirar capturas de ecrã, gravar o ecrã como vídeos MP4 e transmitir o ecrã ao vivo para os atacantes. As capturas de ecrã e gravações são carregadas para o serviço gratuito de alojamento de ficheiros Catbox, e os links de transferência são enviados aos operadores.

Além disso, o Mantax Otax recolhe contactos, registos de chamadas, mensagens SMS recebidas (incluindo palavras-passe de utilização única usadas para inícios de sessão), notificações, histórico de navegação, aplicações instaladas, localização, contas Google associadas, ficheiros e fotografias da galeria. Através dos Serviços de Acessibilidade, também rouba perfis e mensagens do WhatsApp, bem como detalhes de conta e conversas do Telegram, abrindo conversas por si próprio e copiando o seu conteúdo.

O malware pode tirar fotografias secretamente com a câmara frontal ou traseira, sem qualquer sinal visível no ecrã. As fotografias são comprimidas, codificadas em Base64 e enviadas aos operadores - registos de servidor divulgados mostram que também são armazenadas no Catbox.

Os ficheiros expostos pelo servidor mal configurado também incluíam uma captura de ecrã do painel de controlo dos operadores, com a marca Manta Controller. Na altura, listava 210 dispositivos infetados (apenas dois deles online), incluindo telefones da vivo, Infinix e Xiaomi.

A segunda versão muda para ligações WebSocket através de outro subdomínio (apixnxx[.]otax[.]fun) e adiciona novos comandos destinados a controlar e atormentar as vítimas. Pode bloquear o ecrã com uma mensagem em indonésio alegando que o dispositivo é controlado pelo Manta X2, que toda a atividade está a ser vigiada, e que a vítima tem de contactar um administrador para recuperar o acesso.

A versão 2 também pode bloquear aplicações individuais e colocar uma camada invisível sobre todo o ecrã que absorve cada toque e deslize, deixando o telefone visível mas inutilizável. Outros comandos inundam o ecrã com caixas de diálogo pop-up, reproduzem um vídeo em ecrã inteiro para esconder o que está a acontecer em segundo plano, ou fazem piscar imagens assustadoras a cada 600 milissegundos para criar um efeito estroboscópico desorientador.

Os operadores podem até fazer o telefone falar. Um comando remoto de texto para voz lê qualquer mensagem que os atacantes escolham através do altifalante do dispositivo, com idioma, velocidade e tom ajustáveis.

Em resumo, a presença de software como o Mantax Otax nos dispositivos pode levar a múltiplas infeções do sistema, problemas graves de privacidade, perdas financeiras e roubo de identidade. As vítimas arriscam-se a perder as suas fotografias e documentos, as suas contas e as suas conversas privadas, tudo ao mesmo tempo.

É preciso mencionar que os criadores de malware melhoram frequentemente o seu software e as suas metodologias. Por isso, potenciais iterações futuras do Mantax Otax poderão ter funcionalidades e características adicionais ou diferentes.

Conclusão

O Mantax Otax é uma combinação desagradável de ransomware e spyware. Pode trancar uma vítima fora do seu telefone e ficheiros, pressioná-la a pagar através de uma janela de conversação e, ao mesmo tempo, recolher quase tudo o que está armazenado ou é apresentado pelo dispositivo. Mesmo que os ficheiros sejam recuperados, as mensagens, códigos e fotografias roubados continuam a ser um risco a longo prazo.

Outros exemplos de malware específico para Android incluem o Manic, o WindRelay e o Rokarolla. Aplicações maliciosas como estas tendem a solicitar permissões extensas e a abusar delas para roubar dados, espiar utilizadores ou assumir totalmente o controlo do dispositivo.

Como é que o Mantax Otax se infiltrou no meu dispositivo?

A Zimperium encontrou amostras do Mantax Otax alojadas como ficheiros APK num serviço de partilha de ficheiros de terceiros, onde uma delas era oferecida com o nome VoCNewEra. Os links para tais ficheiros são geralmente divulgados através de aplicações de mensagens, mensagens de phishing e outros truques de engenharia social. Uma vez que a aplicação não está na Google Play Store, as vítimas têm de permitir manualmente a sua instalação.

Os iscos vistos até agora incluem uma aplicação com um nome indonésio a insinuar conteúdo adulto, e algumas amostras alegadamente fazem-se passar por aplicações legítimas como o Grok. Os cibercriminosos recorrem a disfarces como estes porque os utilizadores curiosos ou confiantes têm maior probabilidade de percorrer a longa lista de pedidos de permissão sem pensar duas vezes.

Como evitar a instalação de malware?

Instale aplicações apenas a partir da Google Play Store ou do site oficial do programador, e desconfie de ficheiros APK partilhados através de links de alojamento de ficheiros, conversas ou redes sociais - mesmo quando um amigo os envia. Preste atenção às permissões que uma aplicação pede. Um leitor de vídeo, chatbot ou jogo não tem motivo para precisar de direitos de administrador, Serviços de Acessibilidade ou da capacidade de ler as suas mensagens SMS.

Mantenha o Android e as suas aplicações atualizados, uma vez que as versões mais recentes do Android limitam o que malware como este consegue alcançar. Ignore mensagens inesperadas que o pressionem a transferir algo, e evite aplicações adultas, pirateadas ou "premium grátis" de fontes não oficiais. Também ajuda ter um antivírus móvel de boa reputação instalado e fazer regularmente cópias de segurança de fotografias e documentos importantes.

APK do Mantax Otax alojado num site de partilha de ficheiros de terceiros (fonte: zimperium.com):

Pedidos de permissão apresentados pelo Mantax Otax durante a instalação (fonte: zimperium.com):

Ficheiros num dispositivo infetado antes e depois da encriptação do Mantax Otax (fonte: zimperium.com):

Ecrãs de bloqueio falsos usados pelo Mantax Otax para roubar o PIN da vítima (fonte: zimperium.com):

Mensagem de bloqueio de ecrã apresentada pela segunda versão do Mantax Otax (fonte: zimperium.com):

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador no navegador Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador no navegador Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como iniciar o dispositivo Android em "Modo de Segurança"?
• Como verificar o uso da bateria de várias aplicações?
• Como verificar o uso de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema no seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu suspenso aberto.

Toque em "Limpar dados de navegação", selecione o separador "AVANÇADAS", escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em "Limpar dados".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Definições" no menu suspenso aberto.

Desloque-se para baixo até ver a opção "Definições do site" e toque nela. Desloque-se para baixo até ver a opção "Notificações" e toque nela.

Encontre os sites que entregam notificações do navegador, toque neles e clique em "Limpar e repor". Isto removerá as permissões concedidas a estes sites para entregar notificações. No entanto, assim que visitar novamente o mesmo site, este poderá pedir novamente uma permissão. Pode escolher se concede ou não estas permissões (se optar por recusar, o site irá para a secção "Bloqueados" e deixará de lhe pedir a permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Chrome", selecione-a e toque na opção "Armazenamento".

Toque em "GERIR ARMAZENAMENTO", depois em "LIMPAR TODOS OS DADOS" e confirme a ação tocando em "OK". Note que repor o navegador eliminará todos os dados armazenados nele. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de iniciar sessão novamente em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu suspenso aberto.

Desloque-se para baixo até ver "Limpar dados privados" e toque nesta opção. Selecione os tipos de dados que pretende remover e toque em "LIMPAR DADOS".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Firefox:

Visite o site que está a entregar notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um "Cadeado") e selecione "Editar definições do site".

Na janela pop-up aberta, ative a opção "Notificações" e toque em "LIMPAR".

[Voltar ao menu]

Repor o navegador Firefox:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Firefox", selecione-a e toque na opção "Armazenamento".

Toque em "LIMPAR DADOS" e confirme a ação tocando em "ELIMINAR". Note que repor o navegador eliminará todos os dados armazenados nele. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de iniciar sessão novamente em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em "Desinstalar". Se, por algum motivo, não conseguir remover a aplicação selecionada (por exemplo, surge-lhe uma mensagem de erro), deve tentar usar o "Modo de Segurança".

[Voltar ao menu]

Iniciar o dispositivo Android em "Modo de Segurança":

O "Modo de Segurança" no sistema operativo Android desativa temporariamente a execução de todas as aplicações de terceiros. Utilizar este modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar "normalmente").

Prima o botão "Ligar/Desligar" e mantenha-o premido até ver o ecrã "Desligar". Toque no ícone "Desligar" e mantenha-o premido. Após alguns segundos, a opção "Modo de Segurança" surgirá e poderá executá-la reiniciando o dispositivo.

[Voltar ao menu]

Verificar o uso da bateria de várias aplicações:

Vá a "Definições", desloque-se para baixo até ver "Manutenção do dispositivo" e toque nesta opção.

Toque em "Bateria" e verifique o uso de cada aplicação. As aplicações legítimas/genuínas são concebidas para usar o mínimo de energia possível, de modo a proporcionar a melhor experiência ao utilizador e a poupar energia. Por conseguinte, um uso elevado da bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar o uso de dados de várias aplicações:

Vá a "Definições", desloque-se para baixo até ver "Ligações" e toque nesta opção.

Desloque-se para baixo até ver "Utilização de dados" e selecione esta opção. Tal como com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar ao máximo o uso de dados. Isto significa que um uso enorme de dados pode indicar a presença de uma aplicação maliciosa. Note que algumas aplicações maliciosas podem ser concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por esta razão, deve verificar o uso de dados tanto Móveis como Wi-Fi.

Se encontrar uma aplicação que usa muitos dados mesmo que nunca a utilize, então recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos lançam continuamente vários patches de segurança e atualizações do Android para corrigir erros e falhas que podem ser abusados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Vá a "Definições", desloque-se para baixo até ver "Atualização de software" e toque nesta opção.

Toque em "Transferir atualizações manualmente" e verifique se há atualizações disponíveis. Se houver, instale-as imediatamente. Também recomendamos que ative a opção "Transferir atualizações automaticamente" - permitirá que o sistema o notifique assim que uma atualização for lançada e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema no seu estado predefinido:

Efetuar uma "Reposição de Fábrica" é uma boa forma de remover todas as aplicações indesejadas, restaurar as definições do sistema para as predefinições e limpar o dispositivo em geral. No entanto, deve ter em mente que todos os dados no dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo, não no cartão SIM), mensagens SMS, e por aí adiante. Por outras palavras, o dispositivo será restaurado ao seu estado original.

Também pode restaurar as definições básicas do sistema e/ou simplesmente as definições de rede.

Vá a "Definições", desloque-se para baixo até ver "Acerca do telefone" e toque nesta opção.

Desloque-se para baixo até ver "Repor" e toque nesta opção. Agora escolha a ação que pretende efetuar:
"Repor definições" - restaurar todas as definições do sistema para as predefinições;
"Repor definições de rede" - restaurar todas as definições relacionadas com a rede para as predefinições;
"Reposição de dados de fábrica" - repor todo o sistema e eliminar completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de nível de administrador, pode danificar seriamente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre que aplicações têm tais privilégios e desativar as que não deveriam tê-los.

Vá a "Definições", desloque-se para baixo até ver "Ecrã de bloqueio e segurança" e toque nesta opção.

Desloque-se para baixo até ver "Outras definições de segurança", toque nesta opção e depois toque em "Aplicações de administração do dispositivo".

Identifique as aplicações que não deveriam ter privilégios de administrador, toque nelas e depois toque em "DESATIVAR".

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o malware Mantax Otax, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Normalmente, não é necessário formatar para remover o Mantax Otax. Executar um antivírus móvel de boa reputação como o Combo Cleaner deverá ser suficiente para o detetar e eliminar. Tenha em mente que remover o malware (ou formatar o dispositivo) não irá desencriptar os ficheiros que já foram bloqueados, por isso restaure-os a partir de uma cópia de segurança, se tiver uma.

Quais são os maiores problemas que o malware Mantax Otax pode causar?

O Mantax Otax pode encriptar fotografias e documentos, bloquear o telefone atrás de ecrãs de bloqueio falsos e roubar o verdadeiro PIN do ecrã de bloqueio. Também grava o ecrã, tira fotografias secretas e recolhe mensagens SMS (incluindo palavras-passe de utilização única), contactos, registos de chamadas, histórico de navegação e conversas do WhatsApp e do Telegram.

Como resultado, as vítimas enfrentam perda de dados, problemas graves de privacidade, perdas financeiras e roubo de identidade.

Qual é o objetivo do malware Mantax Otax?

A maioria dos ataques de malware é motivada pelo lucro, e o Mantax Otax não é exceção - pressiona as vítimas a pagar para recuperarem os seus ficheiros enquanto recolhe dados que podem ser abusados ou vendidos. Dito isto, o malware também pode ser usado para diversão, rancores pessoais, perturbação, hacktivismo ou motivos políticos, e as funcionalidades de assédio na segunda versão sugerem que alguns operadores simplesmente gostam de atormentar as vítimas.

Como é que o malware Mantax Otax se infiltrou no meu dispositivo Android?

O Mantax Otax foi difundido como ficheiros APK em serviços de partilha de ficheiros de terceiros, com links divulgados através de aplicações de mensagens, mensagens de phishing e outra engenharia social. As amostras vistas até agora faziam-se passar por uma aplicação indonésia de conteúdo adulto ou por aplicações legítimas como o Grok. Não é distribuído através da Google Play Store, pelo que as vítimas têm de o instalar manualmente.

O Combo Cleaner protege-me de malware?

O Combo Cleaner é capaz de detetar e eliminar quase todas as infeções de malware conhecidas, incluindo ameaças como o Mantax Otax. Efetuar uma análise completa do sistema é essencial, uma vez que os programas maliciosos sofisticados normalmente escondem-se nas profundezas do sistema.