MantaX Otax exfiltre les SMS, les mots de passe à usage unique et les profils WhatsApp des smartphones Android avant de chiffrer les documents des victimes. Repéré par les chercheurs de Zimperium, ce logiciel malveillant harcèle ensuite ses cibles par des messages vocaux menaçants et des images clignotantes jusqu’au paiement d’une rançon.
Le fichier APK de MantaX Otax ne circule pas sur les boutiques officielles. Les victimes le récupèrent par un lien partagé sur une messagerie ou un réseau social, le plus souvent après un contact d’ingénierie sociale. Une fois installé, le programme réclame les droits d’administrateur de l’appareil et les permissions d’accessibilité, puis accède aux SMS, aux contacts, au code de verrouillage de l’écran et à la liste des applications installées. Il peut alors filmer l’écran, actionner la caméra en silence et récupérer les profils WhatsApp et Telegram, avant de chiffrer photos, vidéos et documents avec une clé AES différente pour chaque victime. Chaque fichier chiffré porte l’extension .enc.
C’est à l’équipe de recherche zLabs, chez l’éditeur de sécurité mobile Zimperium, que l’on doit la découverte de cette menace sur des smartphones Android infectés en Indonésie.
Google a fermé une partie de la faille dès Android 10
Le chiffrement de MantaX Otax ne fonctionne pleinement que sur les appareils encore sous Android 9 ou une version antérieure. Depuis Android 10, Google isole par défaut le stockage partagé des applications tierces grâce au Scoped Storage. Sur un téléphone mis à jour, le malware ne peut plus parcourir librement les dossiers de photos, de vidéos et de documents, et il perd alors une grande partie de son efficacité. Ce paramètre est simple à vérifier : la version d’Android installée s’affiche dans les réglages, sous les informations sur l’appareil. De nombreux smartphones qui tournent encore sous d’anciennes versions Android ne reçoivent jamais cette mise à jour et sont donc très vulnérables à ce chiffrement.
Si l’utilisateur laisse Google Play Protect activé, Google peut aussi repérer une partie des applications téléchargées hors du Play Store avant l’installation. Cybermalveillance.gouv.fr recommande, plus largement, de n’installer des applications que depuis les magasins officiels et de sauvegarder régulièrement les données du téléphone, qui pourraient autrement être perdues en cas d’incident.
Les pirates verrouillent l’écran pour forcer le paiement
Une première version de MantaX Otax se limitait au vol de données et au chiffrement des fichiers. Zimperium a ensuite identifié une seconde version, plus agressive. Celle-ci ajoute les mécanismes de harcèlement et bloque l’accès aux autres applications du téléphone, si bien que la victime ne peut plus contacter un proche ni chercher de l’aide en ligne.
Une fois les fichiers chiffrés, le programme ouvre une fenêtre de discussion sur l’écran verrouillé du téléphone, hébergée sur l’infrastructure gratuite de Firebase, pour négocier la rançon avec la victime. En parallèle, il multiplie les boîtes de dialogue, superpose des vidéos en plein écran et fait apparaître des images toutes les 600 millisecondes pour provoquer un sursaut de peur, pendant qu’une voix de synthèse menace la victime par les haut-parleurs du téléphone. Le chiffrement n’est qu’une partie du chantage. Les données déjà volées, à commencer par les SMS et les captures d’écran, ajoutent une seconde pression en cas de refus de payer.
Pour dissimuler son serveur de commande, le programme ne code aucune adresse en dur. Il va chercher cette adresse dans un dépôt GitHub. Cette adresse a pris plusieurs formes, par exemple apimantax.otax.fun au moment de la découverte. Cette plateforme a hébergé des chevaux de Troie bancaires sous couvert de projets ordinaires. Le programme envoie ensuite les fichiers volés vers Catbox, un service public habituellement réservé au partage d’images. Les équipes de sécurité repèrent plus difficilement un serveur hébergé sur une plateforme légitime qu'un domaine anonyme enregistré pour l’occasion. Zimperium affirme repérer ce trafic directement sur l’appareil, sans dépendre d’une mise à jour de signatures, et bloquer les connexions vers l'infrastructure de commande une fois cette dernière identifiée.
Les permissions d’accessibilité sont conçues pour aider les personnes en situation de handicap en autorisant une application à lire le contenu affiché, détecter des actions et parfois automatiser des interactions (clics, saisie, navigation). Entre de mauvaises mains, elles permettent d’espionner ce qui s’affiche (codes à usage unique, messages, identifiants) et de contrôler l’interface sans que l’utilisateur s’en rende compte. C’est aussi un moyen de contourner certaines protections, car l’app peut « voir » des informations que d’autres API n’exposent pas. Lorsqu’une app inconnue demande l’accessibilité ou des droits d’administrateur, c’est un signal d’alerte fort, car ces accès sont rarement indispensables hors outils d’assistance ou de gestion d’entreprise.
Le Scoped Storage est un modèle d’isolation du stockage qui limite, par défaut, l’accès d’une application aux fichiers des autres apps et à certaines zones de stockage partagé. Concrètement, une app ne peut plus parcourir librement les dossiers communs (photos, vidéos, documents) comme elle le faisait sur Android 9 et antérieurs, sauf cas spécifiques et permissions encadrées. Pour un rançongiciel, cela réduit la capacité à lister et chiffrer massivement les fichiers personnels, ce qui diminue l’impact et l’effet de levier sur la victime. Cette protection n’élimine pas tout risque (captures d’écran, SMS, abus d’accessibilité), mais elle coupe un vecteur classique de chiffrement de masse.
Les plateformes légitimes comme Firebase (hébergement/temps réel), GitHub (dépôts) ou des services de partage publics comme Catbox fournissent des domaines et des flux réseau « ordinaires » utilisés par des millions d’applications. Un malware peut s’en servir pour héberger une page de discussion, récupérer dynamiquement l’adresse de son serveur de commande (sans la coder en dur) ou exfiltrer des données vers un service connu. Cela rend les blocages plus délicats, car filtrer trop largement ces services peut casser des usages légitimes. Cette stratégie réduit aussi l’intérêt des signatures statiques (IOC figés), car l’infrastructure peut changer rapidement en modifiant un contenu sur GitHub plutôt qu’en réécrivant l’app.
