Uma nova ameaça cibernética para dispositivos Android está chamando a atenção de especialistas em segurança pela combinação particularmente agressiva de recursos. O malware para Android Mantax Otax reúne ransomware, spyware, roubo de credenciais e mecanismos de intimidação, transformando o smartphone em uma ferramenta de vigilância e, ao mesmo tempo, em alvo de extorsão.
A ameaça foi analisada pela equipe zLabs, da Zimperium, que identificou amostras distribuídas como APKs hospedados em serviços de compartilhamento de arquivos de terceiros. O ataque depende, portanto, de técnicas de sideloading, engenharia social e phishing para convencer a vítima a instalar manualmente o aplicativo malicioso.
O caso também mostra como o cenário de ameaças móveis está evoluindo. Em vez de simplesmente roubar informações, o Mantax Otax combina sequestro de arquivos, espionagem contínua e assédio psicológico, tentando controlar não apenas os dados da vítima, mas também sua interação com o próprio aparelho.
Como funciona o malware para Android e o abuso dos Serviços de Acessibilidade
O processo começa quando a vítima é induzida a instalar um APK fora da Google Play. Esse tipo de distribuição é especialmente perigoso porque remove uma das principais camadas de análise presentes nos canais oficiais de aplicativos.
Depois da instalação, o Mantax Otax solicita privilégios de administrador do dispositivo e, em seguida, tenta obter acesso a informações como SMS, contatos, áudio e imagens. A etapa mais importante ocorre quando o malware solicita os Serviços de Acessibilidade.
Essa permissão foi criada para auxiliar pessoas com necessidades específicas de acessibilidade, mas pode ser abusada por aplicativos maliciosos. Com ela, o Mantax Otax consegue simular toques, interações e cliques, além de observar elementos exibidos na interface e automatizar ações no aparelho.
Na prática, isso amplia drasticamente o alcance do ataque. A ameaça consegue interagir com aplicativos e telas de maneira semelhante ao usuário, transformando a permissão de acessibilidade em uma poderosa ferramenta para espionagem e controle remoto.
A comunicação com a infraestrutura criminosa também foi projetada para dificultar o bloqueio. A análise da Zimperium encontrou comunicação HTTPS e um mecanismo que consulta um repositório do GitHub para descobrir dinamicamente o domínio ativo do servidor de comando e controle, ou C2. Depois do registro do dispositivo, comandos e tarefas são coordenados pela infraestrutura baseada em Firebase.
Na segunda versão identificada pelos pesquisadores, o malware passou a utilizar WebSockets, permitindo uma comunicação mais interativa com o dispositivo comprometido e novos comandos de controle remoto.
Ransomware para Android e a limitação em versões antigas
O componente de ransomware é uma das partes mais perigosas do malware para Android. Quando recebe a chave criptográfica do servidor C2, a ameaça procura arquivos armazenados no dispositivo e pode atingir imagens, vídeos, documentos, arquivos compactados, bancos de dados e até chaves criptográficas.
Nos aparelhos com Android 9 ou versões anteriores, o ransomware consegue percorrer recursivamente o armazenamento externo compartilhado. Os arquivos encontrados são criptografados usando AES, os originais são removidos e as versões modificadas recebem a extensão .enc.
Existe, porém, uma diferença importante entre as versões antigas e modernas do Android. A partir do Android 10, o sistema introduziu o Scoped Storage, ou armazenamento com escopo, restringindo o acesso dos aplicativos ao armazenamento externo.
Isso não significa que dispositivos com Android 10 ou superior estejam automaticamente imunes. O que acontece é que o impacto do componente de ransomware é significativamente reduzido, porque o malware não consegue simplesmente percorrer todo o armazenamento compartilhado como faria em versões antigas. A própria análise da Zimperium aponta que, no Android 10 ou posterior, o ransomware fica limitado principalmente aos arquivos externos associados ao próprio aplicativo.
O sistema operacional, portanto, funciona como uma importante barreira contra o ransomware Android, embora não elimine os demais recursos de espionagem e controle presentes na ameaça.
Depois da criptografia, o Mantax Otax também pode alterar elementos visuais do dispositivo para exibir mensagens de extorsão. A ameaça substitui imagens por versões contendo uma mensagem informando que os arquivos foram criptografados e, posteriormente, apresenta uma interface de conversa para negociação do resgate. Essa comunicação utiliza Firebase.
Espionagem avançada e assédio psicológico aos usuários
O componente de spyware torna o Mantax Otax ainda mais preocupante. O malware consegue coletar informações do dispositivo, localização, aplicativos instalados, histórico do navegador, contatos, registros de chamadas e mensagens SMS.
Um dos riscos mais graves está na interceptação de códigos OTP, usados frequentemente como segunda etapa de autenticação em serviços bancários, contas online e outros sistemas. A ameaça também consegue coletar informações relacionadas a contas do Google e arquivos armazenados na galeria.
Aplicativos de comunicação também estão no radar. Segundo a análise da Zimperium, o malware utiliza os Serviços de Acessibilidade para interagir com o WhatsApp e extrair informações de perfis e mensagens. No Telegram, a ameaça pode obter credenciais e históricos de conversas por meio da simulação de interações na interface.
A vigilância não termina nas mensagens. O Mantax Otax abusa da API MediaProjection do Android para realizar capturas de tela, gravações completas e até transmissão da tela em tempo quase real. Capturas também podem ser enviadas para serviços externos de hospedagem, ampliando a quantidade de informações que pode chegar aos operadores.
Outro recurso particularmente invasivo é a possibilidade de utilizar a câmera frontal ou traseira para tirar fotografias sem uma interação normal e visível do usuário. As imagens são processadas e enviadas aos operadores da ameaça.
A segunda versão transforma o ataque em assédio
O Mantax Otax v2 adiciona recursos que vão além do roubo tradicional de informações. O malware pode bloquear a tela, impedir interações por toque e restringir o acesso a aplicativos instalados por meio de comandos enviados remotamente.
Também foram identificados mecanismos para gerar spam de caixas de diálogo, sobrepor vídeos em tela cheia e apresentar imagens de susto, conhecidas como jumpscares. Em determinadas situações, o aparelho pode exibir repetidamente imagens sobre outros aplicativos, dificultando o uso normal do smartphone.
O recurso mais perturbador permite ainda que o invasor utilize o mecanismo nativo de Text-to-Speech do Android para fazer o smartphone reproduzir remotamente frases determinadas pelo atacante nos alto-falantes.
Esse conjunto de funções demonstra que o objetivo não é apenas obter dinheiro ou informações. O operador pode usar o próprio dispositivo para intimidar, constranger e pressionar psicologicamente a vítima.
Como proteger seu dispositivo Android contra essa ameaça
A principal defesa contra o malware para Android começa antes da instalação. Evite baixar APKs recebidos por mensagens, redes sociais, fóruns ou páginas desconhecidas, principalmente quando o arquivo é apresentado como uma atualização urgente, aplicativo modificado ou versão premium gratuita.
Também é fundamental desconfiar de aplicativos que solicitam Serviços de Acessibilidade sem uma justificativa clara. Essa permissão oferece capacidades muito poderosas e deve ser concedida apenas quando sua finalidade for compatível com a função legítima do aplicativo.
Mantenha o Android atualizado sempre que possível. As proteções introduzidas pelo Scoped Storage mostram como mudanças no sistema operacional podem limitar o impacto de determinadas famílias de ransomware. No Android 11 e posteriores, o armazenamento com escopo é aplicado de maneira mais rígida aos aplicativos direcionados às versões modernas da plataforma.
Também mantenha o Google Play Protect ativado. O recurso realiza verificações de segurança e pode identificar e desativar aplicativos maliciosos encontrados no dispositivo.
A App Defense Alliance (ADA) também representa uma camada importante no ecossistema de segurança do Android, reunindo o Google e parceiros especializados para identificar aplicativos potencialmente nocivos e melhorar a detecção antes que eles cheguem aos usuários.
Por fim, se um aplicativo desconhecido solicitar simultaneamente acesso a SMS, notificações, arquivos, câmera, microfone, administrador do dispositivo e Serviços de Acessibilidade, trate a combinação como um forte sinal de alerta. Quanto maior o conjunto de permissões, maior deve ser o cuidado antes de conceder acesso.
O Mantax Otax reforça uma tendência preocupante: ameaças móveis estão combinando ransomware, spyware e engenharia social em uma única operação. Para o usuário, a melhor defesa continua sendo evitar a instalação de aplicativos de fontes desconhecidas, limitar permissões e manter o sistema e suas ferramentas de segurança atualizados.
