Краде фото та PIN-коди карт: в мережі виявили небезпечну програму для Android

Шкідлива програма Mantax Otax поєднує шпигунські функції, дистанційне керування телефоном і можливості програми-вимагача. Вона читає SMS, стежить за екраном і отримує повідомлення з месенджерів. На старіших версіях Android програма може шифрувати файли й вимагати викуп.

Про це пише: Vosveteit. Загрозу детально проаналізували дослідники компанії Zimperium. Вони вивчили зразки, які поширювалися як APK-файли поза Google Play. Щоб заразити телефон, жертва мала самостійно завантажити файл і дозволити його встановлення. Після запуску програма просить доступ до SMS і контактів, функцій доступності Accessibility та права адміністратора пристрою.

За допомогою Accessibility Mantax Otax відстежує вміст екрана, натискає на елементи інтерфейсу й керує іншими застосунками. MediaProjection API дає програмі змогу робити знімки екрана та записувати відео у форматі MP4. Вона також збирає історію браузера, список установлених застосунків і дані про місцеперебування.

Mantax Otax може приховано фотографувати передньою й задньою камерами. Програма створює прихований попередній перегляд, зберігає знімок, стискає його та передає оператору. Вона перехоплює одноразові OTP-коди з вхідних SMS, отримує контакти й історію викликів. Щоб викрасти PIN, показує підроблений екран блокування Android.

Повідомлення WhatsApp і Telegram шкідлива програма читає прямо з екрана зараженого телефона через Accessibility: там вони вже відображаються у читабельному вигляді. У WhatsApp програма також отримує дані облікового запису. У Telegram вона імітує дотики, відкриває розмови та збирає імена контактів і тексти повідомлень.

На Android 9 і старіших версіях Mantax Otax шукає у спільному сховищі фотографії, відео, документи, архіви й бази даних. Програма шифрує файли за допомогою AES, видаляє оригінали, а зашифрованим копіям надає розширення .enc. Починаючи з Android 10, Scoped Storage обмежує доступ до файлів. Водночас читання SMS, перехоплення кодів, стеження за екраном і використання камери залишаються доступними за наявності відповідних дозволів.

Для переговорів про викуп у програмі є чат через Firebase. Через помилкове налаштування сервера дослідники отримали доступ до частини листування. У другій версії програма зв’язувалася з керівним сервером через WebSockets. Це давало змогу блокувати окремі застосунки й накладати на екран шар, який перехоплював дотики. Користувачам підозрілих програм радять перевірити дозволи й запустити перевірку через Google Play Protect. За потреби перед видаленням слід вимкнути права адміністратора пристрою.

Раніше "Телеграф" розповідав, який ПІН-код потрібно терміново змінити. Ці цифри злодії вгадують першими.