Mantax Otax: опасный Android-вирус сочетает шпионаж и шифрование файлов

Как Mantax Otax попадает на телефон

Вредоносное приложение не устанавливается самостоятельно. Пользователя убеждают включить установку из неизвестных источников и открыть APK, который может маскироваться под обновление, игру, мод, документ, банковский инструмент или «защиту от вирусов». Ссылка приходит в мессенджере, письме, комментарии или фальшивой рекламе.

После запуска программа запрашивает чрезмерные права: доступ к SMS, контактам, изображениям, аудио, уведомлениям и специальным возможностям Accessibility. Отдельно может запрашивать права администратора устройства. Именно сочетание этих разрешений является важным сигналом, чем название или иконка приложения.

Google Play Protect и проверка магазина снижают риск, но не делают sideloading безопасным. Если APK получен из Telegram, файлового обменника или случайного сайта, его не стоит открывать даже если сообщение выглядит убедительно. Для фишинговых URL полезно отдельно проверить признаки поддельной ссылки.

Что именно делает вирус

Mantax Otax регистрирует устройство на сервере управления и может получать команды через Firebase или WebSockets. Исследователи описали передачу таких данных, как версия Android, идентификатор устройства, оператор мобильной связи и приблизительное местоположение. Инфраструктура может меняться: домен сервера команда получала через GitHub, чтобы быстрее обходить блокировки.

Шпионская часть способна читать SMS и уведомления, в том числе одноразовые коды, просматривать контакты, журнал звонков, историю браузера, список приложений, данные Google-аккаунта и локальные файлы. Через Accessibility программа может имитировать нажатия и получать доступ к информации в WhatsApp или Telegram. Злоумышленник также может делать скриншоты, записывать экран и фотографировать камерой.

Это не означает, что каждый образец имеет все возможности одновременно. Конкретное поведение зависит от версии, предоставленных разрешений, настроек Android и команд с сервера. Не стоит проверять подозрительный APK самостоятельным запуском — так можно только увеличить ущерб.

Почему особенно упоминают Android 9 и старые версии

По анализу Zimperium, модуль шифрования наиболее полно работает на Android 9 и старых системах. Он получает индивидуальный ключ с сервера, находит типы файлов в общем хранилище, шифрует их алгоритмом AES, удаляет оригиналы и добавляет расширение .enc. После этого на экране может появиться сообщение с требованием выкупа и чат для контакта с атакующим.

Android 10 и новее имеют Scoped Storage, которое ограничивает произвольный доступ приложения к общим файлам. Из-за этого шифрование обычно имеет меньший радиус поражения. Но это не делает новый Android автоматически безопасным: шпионские функции, кража SMS, уведомлений, PIN-кода, скриншотов и доступ к аккаунтам могут оставаться опасными после предоставления Accessibility.

Отдельно существует версия Mantax Otax 2 с дополнительными функциями блокировки экрана, наложениями поверх приложений, спам-диалогами, резкими изображениями и воспроизведением голосовых сообщений. Такие действия оказывают психологическое давление на жертву, чтобы она быстрее согласилась на оплату.

Признаки заражения

Одна необычная реакция не доказывает наличие Mantax Otax. Но несколько симптомов одновременно требуют немедленной проверки:

• появилась программа, которую вы не устанавливали или которая маскируется под системный сервис;
• телефон запрашивает Accessibility, административный доступ или чтение уведомлений без понятной причины;
• файлы переименовались, получили .enc или перестали открываться;
• на фотографиях появились сообщения об оплате или неизвестный чат;
• экран блокируется, поверх приложений появляются окна, а касания работают нестабильно;
• батарея быстро разряжается, устройство нагревается или расходует мобильный трафик без объяснения;
• неизвестные приложения видят SMS, уведомления, контакты или управляют другими программами;
• в почте, банке или мессенджерах появились неизвестные входы и операции.

Не удаляйте сразу всё подряд, если на телефоне есть важные доказательства или зашифрованные файлы. Сначала сфотографируйте экран другим устройством, запишите название программы, время появления, расширение файлов и необычные разрешения.

Что делать сразу после подозрительного APK

1. Включите авиарежим или отключите Wi-Fi и мобильные данные, чтобы уменьшить обмен с сервером управления. Не подключайте заражённый телефон к рабочему компьютеру.
2. Не вводите на нём пароли банка, почты, Google, Telegram или менеджера паролей. Если уже вводили, меняйте их с другого чистого устройства.
3. С чистого устройства завершите неизвестные сессии, проверьте MFA, отзовите подозрительные приложения и предупредите банк, если могли быть доступны SMS или OTP.
4. На Android проверьте специальные разрешения: Accessibility, администраторы устройства, доступ к уведомлениям, установка неизвестных программ, VPN и профили управления. Неизвестную программу сначала зафиксируйте, а затем отзовите её права.
5. Запустите Play Protect и обновите Android, но не устанавливайте случайный «антивирус» по ссылке из сообщения.
6. Если файлы уже зашифрованы или телефон не даёт управлять собой, не платите сразу и не запускайте сомнительные декрипторы. Сделайте резервную копию доступных оригиналов в режиме «только чтение» и обратитесь по диагностику устройства.

Специалисту важно сообщить модель телефона, версию Android, источник APK, название пакета, какие разрешения вы предоставили, когда появились симптомы и вводили ли банковские данные. Это поможет не ограничиваться сбросом настроек, а проверить связанный аккаунт и риск повторного заражения.

Можно ли просто удалить программу

Иногда да, но вредоносная программа может получить права администратора или Accessibility и не позволить себя удалить. Даже если приложение исчезло, уже украденные SMS, токены, PIN-код и файлы назад не вернутся. Поэтому удаление — лишь одно действие, а не весь план реагирования.

Если телефон управляется нормально, сначала отключите специальные права, проверьте администраторов устройства, удалите программу и обновите систему. Если есть сомнения в чистоте, сделайте резервную копию фотографий и документов без исполняемых файлов, затем выполните полный сброс из официального меню или обратитесь к мастеру. Не восстанавливайте после сброса все приложения автоматически из неизвестного резервного источника.

Если на устройстве были рабочие аккаунты, проверьте не только телефон, но и ноутбук. Неизвестные входы, украденные сессии и повторное использование паролей могут продолжить атаку уже после очистки Android. Для Windows стоит отдельно проверить приложения, запускающиеся автоматически.

Как не заразиться снова

Не включайте установку из неизвестных источников «на постоянной основе». Если программа недоступна в Play Store, проверьте сайт издателя, цифровую подпись, название пакета и репутацию разработчика. Для банковских, почтовых и мессенджерных приложений используйте только официальные магазины и обновления.

Отказывайтесь от Accessibility, если обычному калькулятору, обоям, фонарику или «обновлению» оно не нужно. Читайте, что именно запрашивает программа, и не соглашайтесь на доступ к SMS и уведомлениям только ради обещания бонуса. Включите автоматические обновления Android, Play Protect, блокировку экрана и MFA для важных аккаунтов.

Регулярная резервная копия также важна, но она должна быть отделена от телефона. Если диск или облако доступны из того же заражённого сеанса, вредоносная программа может добраться и до резервов. Храните хотя бы одну копию так, чтобы её нельзя было изменить с телефона.

Вывод

Mantax Otax опасен не только шифрованием файлов. На Android-устройстве он может сочетать шпионаж, кражу кодов, запись экрана, камеру, контроль через Accessibility и психологическое давление. Android 10 и новее ограничивают шифрование общего хранилища, но не отменяют риск кражи данных после предоставления чрезмерных разрешений.

Лучшая защита — не устанавливать APK из сообщений и сторонних сайтов, не давать неизвестным программам Accessibility, держать Play Protect и Android обновлёнными. Если подозрительный файл уже открыт, сначала изолируйте телефон, защитите аккаунты с чистого устройства, зафиксируйте признаки и только потом удаляйте программу или сбрасывайте систему.

FAQ

Q: Заражены ли все телефоны Android 9 и старше? A: Нет. Риск возникает после установки вредоносного APK и предоставления ему нужных прав. Старые системы лишь слабее ограничивают доступ ransomware к общим файлам.

Q: Безопасен ли Android 10 и новее от Mantax Otax? A: Scoped Storage уменьшает возможность массового шифрования общего хранилища, но не блокирует шпионаж, кражу SMS, уведомлений или скриншотов, если пользователь предоставил опасные разрешения.

Q: Достаточно ли удалить APK? A: Не всегда. Нужно отозвать Accessibility и административные права, сменить пароли с чистого устройства, завершить сессии и проверить, не остались ли последствия в файлах и аккаунтах.

Q: Стоит ли платить выкуп за файлы с расширением .enc? A: Не спешите. Оплата не гарантирует возврата данных и может поддержать атакующих. Сохраните копии зашифрованных файлов, не запускайте сомнительные декрипторы и обратитесь к специалисту для идентификации семейства.

Q: Защищает ли Play Protect от Mantax Otax? A: По сообщениям исследователей, актуальный Play Protect может обнаруживать и блокировать известные образцы, но защита зависит от состояния системы и конкретной версии APK. Не используйте Play Protect как разрешение устанавливать файлы из случайных источников.