LONDON (IT BOLTWISE) – Die neue Android-Malware Mantax Otax kombiniert Ransomware und Spyware in einem einzigen Paket. Nach der Installation verschlüsselt sie Dateien auf älteren Android-Versionen, stiehlt anschließend sensible Daten und zeigt den Opfern eine Vollbild-Nachricht zur Zahlung. Verantwortliche Infrastruktur wird über einen C2-Mechanismus gespeist, der Befehle offenbar auch über Firebase oder WebSockets anstößt. Besonders brisant: Über Accessibility- und Medienzugriffe kann die Schadsoftware PINs auslesen und fast in Echtzeit Bildschirm- und Medieninhalte abgreifen.
Mantax Otax zeigt, wie schnell sich Android-Bedrohungen in Richtung „All-in-one“-Angriffe entwickeln: Statt nur Daten zu sperren, bündelt die Malware in einem einzigen Ablauf Verschlüsselung, Datendiebstahl und eine gezielte Einschüchterung der Betroffenen. Laut den Analysen einer Mobile-Security-Firma zielt der Schadcode darauf, Dateien zu verschlüsseln, anschließend Informationen aus dem Gerät auszulesen und das Opfer parallel mit Nachrichten und Interaktionen unter Druck zu setzen. Operativ wird Mantax Otax nicht über den offiziellen App Store verteilt, sondern über schädliche APKs, die außerhalb solcher Plattformen bereitgestellt werden – ein Ansatz, der Nutzer besonders anfällig macht, sobald sie per Phishing oder Social Engineering zur Installation bewegt werden.
Technisch beginnt der Angriff nach dem Start der kompromittierten App mit einer weitreichenden Rechteerweiterung: Die Malware beantragt die Nutzung des Accessibility-Dienstes. Genau diese Schnittstelle ist für viele Android-Angriffe der kritische Hebel, weil sie Eingaben und UI-Elemente auf Systemebene auswerten und Aktionen anstoßen kann, die für normale Apps nicht vorgesehen sind. Danach holt Mantax Otax die Adresse seiner Command-and-Control-Infrastruktur (C2) nach und bindet sich so an die Steuerung der Angreifer. Auffällig ist dabei der Hinweis auf die Herkunft des C2-Domains, die über öffentlich verfügbare Inhalte abgerufen werden soll; anschließend sendet die Schadsoftware Opferdaten wie Standort, Mobilfunkanbieter, Android-Version und Gerätekennungen zurück.
Aus Defender-Sicht macht diese Rückkopplung den Angriff planbarer. Die C2 kann laut Beschreibung Befehle über unterschiedliche Transportwege anstoßen, etwa über Firebase-Mechanismen oder über WebSockets. Für die Ausspielung in der Praxis ist das wichtig, weil Angreifer damit die Kommunikation wechseln können, wenn ein Kanal blockiert wird oder sich Erkennungen an bestimmten Mustern schärfen. Beim eigentlichen Ransomware-Teil setzt Mantax Otax zudem auf eine präzise Versionierung: Der Verschlüsselungsmodul-Workflow greift speziell bei Geräten mit Android-Version 9 oder älter, während Android 10 und neuere Versionen durch „Scoped Storage“ deutlich stärkere Zugriffsbeschränkungen mitbringen. Entsprechend sucht die Malware nach Dateien im Shared-Storage-Bereich und verschlüsselt gezielt bestimmte Dateitypen – dazu gehört die Verwendung eines Opfer-spezifischen AES-Schlüssels, der aus der C2-Instanz stammt.
Beim Verschlüsselungsprozess geht Mantax Otax konsequent nach dem klassischen Ransomware-Schema vor: Die ursprünglichen Dateien werden gelöscht, die verschlüsselten Kopien erhalten eine „.enc“-Erweiterung, und lokale Bilddateien werden durch Hinweise auf die Zahlung ersetzt. Zusätzlich platziert die Malware eine weitere Ebene der „Verhandlung“: Ein Vollbild-Chat, gehostet über Firebase, soll offenbar die Kommunikation zwischen Opfer und Angreifern vereinfachen. Die Analyse beschreibt außerdem, dass es im Firebase-basierten C2-Setup zeitweise zu Fehlkonfigurationen gekommen sei, wodurch Chats mit Betroffenen für die Forschenden sichtbar wurden. Solche Lecks sind ein typisches Nebenprodukt schlechter Operational Security und liefern Defensivteams wichtige Indikatoren, um Muster in Kommunikation und Dateistrukturen wiederzuerkennen.
Doch der Ransomware-Teil ist hier nicht der einzige Schwerpunkt. Mantax Otax enthält eine ausgeprägte Spionage-Komponente mit Remote-Control- und Harassment-Funktionen. Laut den Untersuchungen kann die Schadsoftware Sperrbildschirm-PINs auslesen, um persistenten Zugriff zu sichern, SMS sowie Einmalpasswörter erfassen, Call-Logs und Kontakte abfragen und zudem Browserverläufe und App-Listen auslesen. Dazu kommt die Fähigkeit, Zugriffe auf Google-Konto-Informationen sowie Standortdaten zu erheben, während Medien- und Bildschirmzugriffe die Angriffstiefe erhöhen: Über die Android-„MediaProjection“-API sollen Screenshots, MP4-Aufnahmen und eine nahezu in Echtzeit wirkende Bildschirmübertragung möglich sein, wobei das Streaming über einen Dateidienst erfolgen soll.
Die Eskalation erfolgt außerdem über mediale und psychologische Mittel. Der Schadcode kann demnach Fotos über die Kamera aufnehmen und an die Betreiber hochladen. In einer späteren Version (Version 2) ergänzten die Angreifer gezielte Belästigungselemente wie wiederholte Dialogboxen, Vollbild-Videoinhalte, schnelle „Jumpscare“-Overlay-Bilder und sogar per Text-to-Speech eingespielte, fernsteuerbare Botschaften über die Lautsprecher. Für Opfer entsteht dadurch ein zusätzlicher Druck, weil die Malware nicht nur „technisch sperrt“, sondern die Nutzung des Geräts aktiv stört und emotional belastet – genau das kann die Wahrscheinlichkeit erhöhen, dass Betroffene eher auf die Zahlungsaufforderungen reagieren. Parallel dazu ist der Angriffsschutz über Standard-Sicherheitsmechanismen ein zentraler Faktor: Da Zimperium als Google-Sicherheits-Partner in der App Defense Alliance (ADA) eingebunden ist, wird Mantax Otax laut Beschreibung bereits von aktuellen Android-Geräten mit aktivem Play Protect erkannt und blockiert.
Für Unternehmen und Security-Teams folgt daraus eine klare Handlungslogik, die weniger mit einzelnen Tools als mit Prinzipien zu tun hat. Zunächst gilt: Endnutzer sollten keine APKs außerhalb des App Stores installieren und bei App-Berechtigungen konsequent prüfen, ob ein Accessibility-Zugriff oder ähnliche Hochrisiko-Rechte plausibel begründet sind. Nebenbei hilft ein striktes Berechtigungsmanagement auf Mobilgeräten, damit selbst bei Fehlinstallationen die Angriffsfläche kleiner bleibt. Spannend ist zudem die Rolle moderner KI-gestützter Sicherheitsanalysen: Während der konkrete Angriff ohne „KI-Magie“ auskommt, können KI-Systeme bei der Erkennung von Kommunikationsmustern, bei der Klassifikation verdächtiger Berechtigungsanforderungen und bei der Mustererkennung für C2-Interaktionen schneller skalieren als rein regelbasierte Ansätze. Entscheidend ist aber, dass diese Erkennung in eine verlässliche Prozesskette eingebettet ist – also von der Validierung des Vorfalls über die Entscheidung bis hin zum Fix und zur erneuten Überprüfung.
So bleibt Mantax Otax ein Beispiel für die Verbindung aus Android-spezifischen Zugriffsschichten und operativem C2-Design. Angreifer nutzen gezielt die Unterschiede zwischen Android-Versionen aus, setzen auf AES-basierte Verschlüsselung mit Schlüsselmaterial aus der C2 und ergänzen die Erpressung durch Chats und Bildschirmstörungen. Wer daraus für die eigene Sicherheitsstrategie ableitet, sollte nicht nur auf „Ransomware-Erkennung“ schauen, sondern das gesamte Angriffsspektrum betrachten: Social Engineering als Einstieg, Accessibility als Machtmittel, Medienprojektion als Exfiltrationskanal und Firebase/WebSockets als Kommunikations-Rückgrat. Genau diese Kette macht die Bedrohung für Mobilumgebungen so schwer abzufangen – und erklärt, warum präventive Nutzer- und Berechtigungsrichtlinien weiterhin den ersten, oft entscheidenden Schritt darstellen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Mantax Otax: Android-Malware kombiniert Ransomware, Spyware und Erpressungs-Chats" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Mantax Otax: Android-Malware kombiniert Ransomware, Spyware und Erpressungs-Chats" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Mantax Otax: Android-Malware kombiniert Ransomware, Spyware und Erpressungs-Chats« bei Google Deutschland suchen, bei Bing oder Google News!