Основы Интернет - технологий.

Специалисты компании Zimperium обнаружили новую Android-малварь Mantax Otax, которая обладает функциями вымогателя и шпионского ПО. Вредонос шифрует файлы и похищает данные с зараженных устройств, следит за пострадавшими и даже может запугивать их с помощью полноэкранных видео, изображений и голосовых сообщений. По данным исследователей, за созданием Mantax Otax стоят злоумышленники из Индонезии. Для распространения малвари они используют фишинг и социальную инженерию, предлагая жертвам установить вредоносные APK из сторонних источников, минуя магазин Google Play. После установки вредоносное приложение запрашивает доступ к Accessibility service и после этого получает широкие возможности для управления устройством. Адрес управляющего сервера Mantax Otax получает с GitHub, а затем передает своим операторам информацию о жертве, включая данные о геолокации, мобильном операторе, версии Android и ID устройства. Команды поступают через Firebase или WebSockets. Вымогательский модуль Mantax Otax работает только на Android 9 и более старых версиях ОС. Вредонос ищет нужные типы файлов в общем хранилище и шифрует их с помощью уникального AES-ключа, полученного с управляющего сервера. При этом оригиналы файлов удаляются, а зашифрованные копии получают расширение .enc. Кроме того, малварь подменяет локальные изображения записками с требованием выкупа и открывает полноэкранный чат на базе Firebase, где операторы могут вести переговоры с жертвой. Исследователи пишут, что обнаружили ошибку в конфигурации Firebase-сервера атакующих, что позволило получить доступ к части таких переписок. Эксперты объясняют, что в Android 10 и новее вымогательский модуль практически теряет работоспособность из-за Scoped Storage. Этот механизм заметно ограничивает доступ приложений к общему хранилищу, поэтому Mantax Otax может зашифровать только файлы в каталоге приложения во внешнем хранилище. Однако шифрованием возможности вредоноса не ограничиваются. Также Mantax Otax способен похищать PIN-код экрана блокировки, читать SMS и одноразовые пароли, собирать историю звонков, список контактов, историю браузера, список установленных приложений, данные Google-аккаунта и геолокацию. Кроме того, с помощью Accessibility service малварь имитирует действия пользователя и извлекает профили и сообщения WhatsApp, а также переписку из Telegram. Злоумышленники могут делать скриншоты, записывать происходящее на экране в формате MP4 и почти в режиме реального времени передавать изображение через файлообменник Catbox. Также вредонос способен делать фотографии камерами зараженного устройства и отправлять снимки операторам. Специалисты отмечают, что во второй версии Mantax Otax появились отдельные функции для оказания психологического давления на жертву. Операторы вредоноса могут постоянно выводить на экран диалоговые окна, запускать полноэкранные видео, быстро показывать пугающие изображения, а также удаленно запускать озвучивание заданного текста через динамики устройства. По мнению исследователей, таким образом злоумышленники пытаются запугивать владельцев скомпрометированных гаджетов и вынуждают их заплатить выкуп.