אזהרה למשתמשי אנדרואיד: הנוזקה שמסוגלת להשתלט על המכשיר

נוזקה חדשה ומסוכנת בשם Mantax Otax מעוררת דאגה בקרב חוקרי אבטחה, לאחר שנחשף כי היא משלבת כמה יכולות תקיפה מתקדמות בתוך אפליקציה זדונית אחת. הנוזקה מסוגלת להצפין קבצים, לגנוב מידע אישי, לעקוב אחר פעילות המשתמש ואף להפעיל מנגנוני הפחדה שנועדו לדחוף את הקורבן לשלם לתוקפים.

לפי מחקר של חברת אבטחת המובייל Zimperium, Mantax Otax מקושרת לגורמי תקיפה באינדונזיה ומופצת באמצעות קובצי APK זדוניים שמאוחסנים מחוץ לחנות Google Play. ההפצה מתבצעת בין היתר באמצעות הודעות פישינג וטכניקות של הנדסה חברתית, שמנסות לגרום למשתמש להוריד ולהתקין את האפליקציה באופן ידני. 

לאחר ההתקנה, הנוזקה מבקשת מהמשתמש להעניק לה הרשאות נרחבות, ובהן הרשאות מנהל וגישה לשירותי הנגישות של המכשיר. הרשאות אלה עלולות לאפשר לה שליטה משמעותית במכשיר ולבצע פעולות שונות ללא ידיעתו של המשתמש.

בשלב הבא מתחילה פעולת איסוף המידע. Mantax Otax מסוגלת לגשת להודעות SMS, אנשי קשר, יומני שיחות, היסטוריית גלישה, מידע על המכשיר וקבצים המאוחסנים בו. בנוסף, החוקרים זיהו יכולות המאפשרות לנוזקה לעקוב אחר המסך, לצלם תמונות באמצעות המצלמה ולגנוב מידע רגיש נוסף. 

אחד המרכיבים החריגים במיוחד בנוזקה הוא מנגנון הכופר. במכשירים ישנים יותר, בעיקר כאלה המריצים Android 9 ומטה, Mantax Otax מסוגלת לסרוק את שטח האחסון המשותף, להצפין סוגים מסוימים של קבצים באמצעות מפתח ייחודי ולמחוק את הקבצים המקוריים. הקבצים המוצפנים מקבלים סיומת חדשה, ובמקביל עשויה הנוזקה להחליף תמונות במכשיר בהודעות הדורשות תשלום תמורת השבת הקבצים. 

במכשירים חדשים יותר המצב שונה. החל מ-Android 10, מנגנון Scoped Storage מגביל משמעותית את הגישה של אפליקציות לקבצים המאוחסנים במכשיר. כתוצאה מכך, יכולת ההצפנה הרחבה של הנוזקה מוגבלת יותר במערכות החדשות, אם כי יכולות הריגול ואיסוף המידע עדיין עלולות להוות איום. 

הנוזקה אינה מסתפקת בהצפנת הקבצים. לאחר השלמת ההצפנה היא יכולה להציג לקורבן ממשק צ’אט על גבי המכשיר, שבאמצעותו התוקפים מנהלים את דרישת הכופר. בכך נוצר מצב שבו הקורבן מתמודד לא רק עם אובדן הגישה לקבצים, אלא גם עם ניסיון ישיר להפעיל עליו לחץ פסיכולוגי ולגרום לו לשלם. 

החוקרים מזהירים גם מפני יכולות הריגול של Mantax Otax, הכוללות בין היתר מעקב אחר פעילות המשתמש, גניבת הודעות וקודי אימות, איסוף פרטי קשר ומידע מהמכשיר וכן צילום תמונות ללא ידיעת המשתמש. בחלק מהגרסאות שנבדקו זוהו גם יכולות לשליטה מרחוק במכשיר ולהעברת מידע לתוקפים. 

למרות שהקמפיין שנחקר מקושר בשלב זה למשתמשים באינדונזיה, שיטת ההפצה היא זו שמדגישה את הסיכון הרחב יותר. קובצי APK שמופצים מחוץ לחנות הרשמית יכולים לעקוף חלק ממנגנוני ההגנה של חנויות האפליקציות ולהגיע ישירות למכשיר של המשתמש באמצעות קישור שנשלח בהודעה.

ההמלצה המרכזית למשתמשי אנדרואיד היא להימנע מהתקנת אפליקציות ממקורות לא מוכרים ולהעדיף הורדה מחנות Google Play. בנוסף, אין להעניק הרשאות נגישות או הרשאות מנהל לאפליקציות חשודות, במיוחד כאשר ההרשאה מתבקשת לאחר התקנת קובץ שהגיע בקישור לא מוכר.

במכשירים מעודכנים, שירות Google Play Protect מסוגל לזהות ולחסום את הנוזקה, ולכן חשוב להקפיד גם על עדכוני מערכת והגנות האבטחה המובנות במכשיר.