Malware Android Mantax Otax Bisa Intip WhatsApp, Curi OTP hingga Kunci File Korban

KABAR PAJAJARAN — Pengguna Android perlu mewaspadai malware baru bernama Mantax Otax. Malware tersebut mampu memata-matai aktivitas korban, membaca pesan WhatsApp dan Telegram, mencuri kode OTP, hingga mengenkripsi file di ponsel.

Tim peneliti keamanan siber zLabs dari Zimperium menemukan malware tersebut dan mengungkap temuannya melalui laporan berjudul Mantax Otax: Indonesian Mobile Ransomware with Spyware Integration.

Peneliti menemukan dua varian Mantax Otax, yaitu V1 dan V2. Kedua varian menyebar melalui file APK yang beredar di luar Google Play Store.

Mantax Otax Diduga Menargetkan Pengguna Indonesia

Zimperium menduga pembuat Mantax Otax berasal dari Indonesia. Dugaan tersebut muncul berdasarkan indikator bahasa serta pola file yang ditemukan pada perangkat korban.

Namun, peneliti belum memastikan identitas maupun lokasi pelaku secara langsung. Zimperium menyebut indikator tersebut hanya menjadi petunjuk mengenai sasaran malware.

“Indikator bahasa dan file-file dari korban menunjukkan bahwa pelaku secara spesifik menyasar target di Indonesia,” tulis Zimperium dalam laporannya.

Pelaku menyebarkan APK melalui layanan berbagi file pihak ketiga. Mereka kemudian memanfaatkan phishing dan rekayasa sosial untuk membujuk korban memasang aplikasi berbahaya tersebut.

Setelah instalasi berlangsung, Mantax Otax meminta akses sebagai administrator perangkat. Malware juga meminta izin Accessibility Service.

Kedua akses tersebut memberi malware kemampuan luas untuk mengendalikan berbagai fungsi ponsel.

Bisa Membaca Pesan WhatsApp dan Telegram

Salah satu kemampuan paling berbahaya Mantax Otax terletak pada fungsi spyware. Malware memanfaatkan Accessibility Service untuk membaca pesan WhatsApp dan Telegram secara langsung.

Selain pesan, Mantax Otax juga dapat mencuri informasi login Telegram. Malware bahkan mampu mengambil kode OTP yang masuk ke perangkat.

Kemampuan tersebut membuat serangan berpotensi mengancam akun digital, termasuk layanan yang menggunakan OTP atau autentikasi multifaktor.

Peneliti juga menemukan kemampuan Mantax Otax untuk mengumpulkan berbagai informasi lain, seperti:

• PIN layar kunci;
• SMS;
• log panggilan;
• daftar kontak;
• riwayat penjelajahan;
• informasi akun Google; dan
• lokasi pengguna.

Kamera dan Layar Ponsel Bisa Direkam

Mantax Otax tidak berhenti pada pencurian data. Malware ini juga dapat mengakses kamera depan dan belakang perangkat.

Pelaku bisa mengambil foto secara diam-diam tanpa memerlukan bantuan pengguna.

Malware tersebut juga dapat merekam layar ponsel dalam format video MP4. Mantax Otax memanfaatkan teknologi MediaProjection untuk menjalankan fungsi tersebut.

Setelah mengambil tangkapan layar, malware mengompres data dan mengunggahnya ke layanan penyimpanan gambar Catbox.

Mantax Otax Juga Mengunci File Korban

Selain membawa fungsi spyware, Mantax Otax memiliki kemampuan ransomware. Malware menyasar berbagai file yang tersimpan di perangkat Android.

Sasarannya mencakup foto, video, dokumen, arsip, database, hingga kunci kriptografi.

Mantax Otax mengenkripsi file menggunakan algoritma AES. Setelah proses tersebut, malware menambahkan ekstensi .enc pada nama file.

Setiap korban mendapatkan kunci enkripsi yang berbeda. Malware mengambil kunci tersebut dari server command and control (C2) berdasarkan Android ID perangkat yang terinfeksi.

Setelah mengenkripsi file, Mantax Otax mengganti galeri foto korban dengan gambar berisi permintaan tebusan.

Malware juga menyediakan fitur percakapan untuk negosiasi pembayaran. Fitur tersebut memanfaatkan layanan Firebase milik Google.

Ransomware Mantax Otax Punya Batasan

Meski memiliki kemampuan mengenkripsi file, Mantax Otax tidak bekerja maksimal pada seluruh versi Android.

Zimperium menemukan fungsi ransomware tersebut efektif pada Android 9 dan versi lebih lama.

Android 10 ke atas menggunakan sistem penyimpanan Scoped Storage. Sistem ini membatasi akses aplikasi terhadap file yang berada di luar folder aplikasinya.

Pembatasan tersebut membuat kemampuan Mantax Otax untuk mengenkripsi file menjadi lebih terbatas pada perangkat Android yang lebih baru.

Malware Teror Korban dengan Jumpscare

Mantax Otax juga memiliki fitur yang tidak lazim pada malware Android. Pelaku dapat menggunakan malware tersebut untuk meneror korban secara psikologis.

Malware menampilkan dialog secara berulang dan dapat memenuhi layar dengan video secara tiba-tiba.

Mantax Otax juga menampilkan gambar jumpscare dalam interval sekitar 600 milidetik. Efek tersebut sengaja dirancang untuk mengejutkan pengguna.

Pelaku bahkan dapat mengunci layar menggunakan overlay. Setelah itu, malware memutar pesan ancaman menggunakan teknologi text-to-speech.

Pelaku mengendalikan pesan tersebut dari jarak jauh.

Kombinasi ancaman pembocoran data dan tekanan psikologis tersebut memperkuat pola double extortion atau pemerasan ganda.

Varian V2 Gunakan WebSocket

Zimperium menemukan perubahan komunikasi pada Mantax Otax V2. Varian terbaru tersebut menggunakan protokol WebSocket untuk berkomunikasi dengan server pengendali.

Sementara itu, varian sebelumnya menggunakan HTTPS.

Penggunaan WebSocket dapat membuat lalu lintas komunikasi malware lebih sulit dikenali oleh sebagian sistem keamanan yang mengandalkan pola lalu lintas tertentu.

Server C2 Mantax Otax menggunakan domain dengan akhiran .otax.fun. Malware mengambil alamat server tersebut dari repositori GitHub.

Teknik tersebut memungkinkan pelaku mengganti alamat server tanpa memperbarui APK yang sudah terpasang di perangkat korban.

Gabungan Spyware, Ransomware dan Teror

Zimperium menilai kombinasi kemampuan Mantax Otax membuat malware ini berbeda dari banyak malware Android lainnya.

Dalam satu aplikasi, pelaku menggabungkan fungsi spyware, ransomware, dan alat teror psikologis.

Spyware memungkinkan pelaku mencuri informasi pribadi. Ransomware mengunci file korban, sedangkan fitur teror meningkatkan tekanan agar korban membayar tebusan.

Pengguna Android perlu meningkatkan kewaspadaan, terutama saat menerima file APK dari sumber yang tidak dikenal.

Zimperium menyarankan pengguna hanya memasang aplikasi dari Google Play Store dan menghindari instalasi APK dari sumber yang tidak terpercaya.

Pengguna juga sebaiknya tidak memberikan izin Accessibility Service atau administrator perangkat kepada aplikasi yang tidak benar-benar membutuhkan akses tersebut.***(Ant)