// CLUBIC — MOBILE & WEB
Ce nouveau malware Android vole vos données, chiffre vos fichiers et vous harcèle
MantaX Otax exfiltre les SMS, les mots de passe à usage unique et les profils WhatsApp des smartphones Android avant de chiffrer les documents des victimes. Repéré par les chercheurs de Zimperium, ce logiciel malveillant harcèle ensuite ses cibles par des messages vocaux menaçants et des images clignotantes jusqu’au paiement d’une rançon.
Le fichier APK de MantaX Otax ne circule pas sur les boutiques officielles. Les victimes le récupèrent par un lien partagé sur une messagerie ou un réseau social, le plus souvent après un contact d’ingénierie sociale. Une fois installé, le programme réclame les droits d’administrateur de l’appareil et les permissions d’accessibilité, puis accède aux SMS, aux contacts, au code de verrouillage de l’écran et à la liste des applications installées. Il peut alors filmer l’écran, actionner la caméra en silence et récupérer les profils WhatsApp et Telegram, avant de chiffrer photos, vidéos et documents avec une clé AES différente pour chaque victime. Chaque fichier chiffré porte l’extension .enc.
C’est à l’équipe de recherche zLabs, chez l’éditeur de sécurité mobile Zimperium, que l’on doit la découverte de cette menace sur des smartphones Android infectés en Indonésie.
Le chiffrement de MantaX Otax ne fonctionne pleinement que sur les appareils encore sous Android 9 ou une version antérieure. Depuis Android 10, Google isole par défaut le stockage partagé des applications tierces grâce au Scoped Storage. Sur un téléphone mis à jour, le malware ne peut plus parcourir librement les dossiers de photos, de vidéos et de documents, et il perd alors une grande partie de son efficacité. Ce paramètre est simple à vérifier : la version d’Android installée s’affiche dans les réglages, sous les informations sur l’appareil. De nombreux smartphones qui tournent encore sous d’anciennes versions Android ne reçoivent jamais cette mise à jour et sont donc très vulnérables à ce chiffrement.
Si l’utilisateur laisse Google Play Protect activé, Google peut aussi repérer une partie des applications téléchargées hors du Play Store avant l’installation. Cybermalveillance.gouv.fr recommande, plus largement, de n’installer des applications que depuis les magasins officiels et de sauvegarder régulièrement les données du téléphone, qui pourraient autrement être perdues en cas d’incident.
Une première version de MantaX Otax se limitait au vol de données et au chiffrement des fichiers. Zimperium a ensuite identifié une seconde version, plus agressive. Celle-ci ajoute les mécanismes de harcèlement et bloque l’accès aux autres applications du téléphone, si bien que la victime ne peut plus contacter un proche ni chercher de l’aide en ligne.
Une fois les fichiers chiffrés, le programme ouvre une fenêtre de discussion sur l’écran verrouillé du téléphone, hébergée sur l’infrastructure gratuite de Firebase, pour négocier la rançon avec la victime. En parallèle, il multiplie les boîtes de dialogue, superpose des vidéos en plein écran et fait apparaître des images toutes les 600 millisecondes pour provoquer un sursaut de peur, pendant qu’une voix de synthèse menace la victime par les haut-parleurs du téléphone. Le chiffrement n’est qu’une partie du chantage. Les données déjà volées, à commencer par les SMS et les captures d’écran, ajoutent une seconde pression en cas de refus de payer.
Pour dissimuler son serveur de commande, le programme ne code aucune adresse en dur. Il va chercher cette adresse dans un dépôt GitHub. Cette adresse a pris plusieurs formes, par exemple apimantax.otax.fun au moment de la découverte. Cette plateforme a hébergé des chevaux de Troie bancaires sous couvert de projets ordinaires. Le programme envoie ensuite les fichiers volés vers Catbox, un service public habituellement réservé au partage d’images. Les équipes de sécurité repèrent plus difficilement un serveur hébergé sur une plateforme légitime qu'un domaine anonyme enregistré pour l’occasion. Zimperium affirme repérer ce trafic directement sur l’appar