Ворует фото и PIN-коды карт: в сети обнаружили опасную программу для Android

Вредоносная программа Mantax Otax сочетает в себе шпионские функции, удалённое управление телефоном и возможности программы-вымогателя. Она читает SMS, следит за экраном и получает сообщения из мессенджеров. На старых версиях Android программа может шифровать файлы и требовать выкуп.

Об этом пишет: Vosveteit. Исследователи компании Zimperium подробно проанализировали угрозу. Они изучили образцы, которые распространялись в виде APK-файлов вне Google Play. Чтобы заразить телефон, жертва должна была самостоятельно скачать файл и разрешить его установку. После запуска программа запрашивает доступ к SMS и контактам, функции специальных возможностей Accessibility и права администратора устройства.

С помощью Accessibility Mantax Otax отслеживает содержимое экрана, нажимает на элементы интерфейса и управляет другими приложениями. MediaProjection API позволяет программе делать снимки экрана и записывать видео в формате MP4. Она также собирает историю браузера, список установленных приложений и данные о местоположении.

Mantax Otax может тайно фотографировать с помощью передней и задней камер. Программа создаёт скрытый предварительный просмотр, сохраняет снимок, сжимает его и передаёт оператору. Она перехватывает одноразовые OTP-коды из входящих SMS, получает контакты и историю вызовов. Чтобы украсть PIN-код, программа показывает поддельный экран блокировки Android.

Сообщения WhatsApp и Telegram вредоносная программа читает прямо с экрана заражённого телефона через Accessibility: там они уже отображаются в читаемом виде. В WhatsApp программа также получает данные учётной записи. В Telegram она имитирует нажатия, открывает переписки и собирает имена контактов и тексты сообщений.

На Android 9 и более ранних версиях Mantax Otax ищет в общем хранилище фотографии, видео, документы, архивы и базы данных. Программа шифрует файлы с помощью AES, удаляет оригиналы, а зашифрованным копиям присваивает расширение .enc. Начиная с Android 10 Scoped Storage ограничивает доступ к файлам. При этом чтение SMS, перехват кодов, слежение за экраном и использование камеры остаются доступными при наличии соответствующих разрешений.

Для переговоров о выкупе в программе есть чат через Firebase. Из-за ошибочной настройки сервера исследователи получили доступ к части переписки. Во второй версии программа связывалась с управляющим сервером через WebSockets. Это позволяло блокировать отдельные приложения и накладывать на экран слой, который перехватывал нажатия. Пользователям подозрительных приложений советуют проверить разрешения и запустить проверку через Google Play Protect. При необходимости перед удалением следует отключить права администратора устройства.

Ранее "Телеграф" рассказывал, какой ПИН-код нужно срочно сменить. Эти цифры воры угадывают первыми.