Penyebaran semacam ini memungkinkan pelaku membujuk korban untuk memasang aplikasi secara manual. Zimperium menyebut distribusinya berkaitan dengan phishing dan rekayasa sosial, termasuk tautan yang dapat dibagikan melalui berbagai saluran komunikasi.

Setelah korban menjalankan APK tersebut, malware meminta sejumlah hak akses pada perangkat. Salah satu izin yang menjadi perhatian adalah Accessibility Service karena akses tersebut dapat memberikan kemampuan luas kepada aplikasi untuk berinteraksi dengan antarmuka perangkat.

Secara umum, pengguna perlu berhati-hati ketika sebuah aplikasi yang diperoleh dari sumber tidak resmi meminta izin yang tidak sesuai dengan fungsi aplikasi. Pemasangan APK dari sumber yang tidak dikenal juga dapat meningkatkan risiko perangkat terpapar perangkat lunak berbahaya.

Setelah mendapatkan akses yang diperlukan, Mantax Otax dapat menjalankan berbagai aktivitas pengumpulan informasi. Data yang menjadi sasaran antara lain:

• SMS, termasuk kode OTP.

• Kontak dan log panggilan.

• Riwayat penjelajahan browser.

• Informasi aplikasi yang terpasang.

• Informasi akun Google.

• Lokasi perangkat.

• PIN layar kunci.

• Data dan informasi dari WhatsApp serta Telegram.

• Rekaman layar dan foto yang diambil dari perangkat.

Zimperium juga mendokumentasikan kemampuan malware untuk mengambil gambar menggunakan kamera serta melakukan pemantauan layar. Data yang dikumpulkan kemudian dapat dikirimkan kepada pihak yang mengoperasikan malware tersebut.

Bisa Mencuri PIN dan Memantau Layar

Salah satu kemampuan Mantax Otax yang menjadi perhatian adalah pencurian PIN layar kunci. Malware dapat memanfaatkan mekanisme tertentu pada perangkat untuk memperoleh informasi yang berkaitan dengan kredensial penguncian.

Selain itu, malware mempunyai kemampuan merekam aktivitas layar dan mengirimkan hasil pemantauan kepada penyerang. Dengan kemampuan tersebut, aktivitas yang sedang dilakukan pengguna pada perangkat berpotensi terlihat oleh pihak lain.

Kemampuan lain berkaitan dengan aplikasi komunikasi. Melalui layanan aksesibilitas, Mantax Otax dapat memperoleh informasi dari antarmuka WhatsApp dan Telegram, termasuk profil akun, nama kontak, serta isi percakapan yang dapat diakses melalui mekanisme tersebut.

Karena SMS juga termasuk data yang dapat dikumpulkan, kode OTP yang dikirim melalui pesan menjadi salah satu informasi yang berpotensi ikut terekspos. Kondisi ini membuat pencurian data melalui malware tidak hanya berkaitan dengan foto atau dokumen pribadi, tetapi juga informasi autentikasi.

Menyerang File pada Android Versi Lama

Selain fungsi mata-mata, Mantax Otax memiliki komponen ransomware yang dapat mengenkripsi file korban. Namun, kemampuan tersebut sangat dipengaruhi oleh versi Android yang digunakan.

Menurut analisis Zimperium, perangkat yang menjalankan Android 9 atau versi lebih lama memiliki risiko lebih besar terhadap kemampuan enkripsi file malware tersebut. Mantax Otax dapat mencari jenis file tertentu di penyimpanan bersama, mengenkripsinya menggunakan AES, lalu menghapus file asli.

Setelah proses tersebut, korban dapat menemukan file dalam kondisi terenkripsi. Malware juga dapat mengubah tampilan tertentu pada perangkat untuk menampilkan pesan tebusan dan menyediakan mekanisme komunikasi dengan pelaku.

Pesan yang digunakan sebagai bagian dari pemerasan tersebut berbunyi, "Your files have been encrypted. Pay to decrypt."

Zimperium mencatat bahwa Android 10 memperkenalkan Scoped Storage yang membatasi akses aplikasi terhadap penyimpanan perangkat. Akibatnya, kemampuan ransomware Mantax Otax untuk mengenkripsi file secara luas menjadi lebih terbatas pada perangkat yang menggunakan Android 10 atau versi lebih baru.

Ada Dua Varian Mantax Otax

Peneliti menemukan lebih dari satu varian Mantax Otax. Versi yang lebih baru menunjukkan perkembangan kemampuan malware, termasuk fitur yang dirancang untuk mengganggu dan menekan pengguna ketika perangkat sudah terinfeksi.

Beberapa kemampuan yang ditemukan pada varian tersebut antara lain:

1. Mengunci layar perangkat secara penuh sehingga pengguna kesulitan mengakses aplikasi lain.

2. Menampilkan pop-up peringatan secara berulang.

3. Menampilkan gambar atau video secara tiba-tiba untuk mengganggu pengguna.

4. Memutar suara ancaman menggunakan fitur text-to-speech pada perangkat.

5. Tetap menjalankan aktivitas pengumpulan data ketika pengguna menghadapi gangguan pada layar.

Fitur tersebut membuat Mantax Otax tidak hanya berfokus pada pencurian informasi dan enkripsi file. Malware juga menggunakan elemen gangguan visual serta audio sebagai bagian dari tekanan terhadap korban.

Mengapa Pengguna Indonesia Menjadi Perhatian?

Zimperium mengaitkan Mantax Otax dengan aktor ancaman yang memiliki hubungan dengan Indonesia. Analisis terhadap sampel yang ditemukan juga menunjukkan indikasi penargetan terhadap pengguna di Indonesia.

Meski demikian, temuan tersebut perlu dipahami secara tepat. Informasi mengenai kaitan dengan Indonesia berasal dari analisis peneliti keamanan terhadap sampel dan infrastruktur malware, bukan berarti seluruh pengguna Android di Indonesia menjadi sasaran secara otomatis.

Risiko utama muncul ketika pengguna memasang APK berbahaya dan memberikan izin yang dibutuhkan malware. Karena distribusinya dilakukan di luar Google Play, pengguna yang tidak memasang file tersebut tidak serta-merta terinfeksi hanya karena menggunakan Android di Indonesia.

Oleh sebab itu, pengguna dapat mengambil sejumlah langkah dasar untuk mengurangi risiko:

• Hindari memasang APK dari situs atau tautan yang tidak dikenal.

• Jangan sembarangan memberikan izin Accessibility Service kepada aplikasi.

• Jangan mengunduh aplikasi dari tautan yang dikirim melalui pesan mencurigakan.

• Pertahankan sistem Android dan aplikasi dalam kondisi terbaru.

• Gunakan toko aplikasi resmi ketika tersedia.

• Periksa kembali izin yang diminta aplikasi sebelum melakukan instalasi.

• Jangan memberikan informasi akun atau kode OTP kepada aplikasi yang tidak memiliki alasan jelas untuk mengaksesnya.

Temuan Mantax Otax menunjukkan bagaimana satu malware Android dapat menggabungkan pencurian data dengan fungsi ransomware. Zimperium menyebut ancaman tersebut masih menunjukkan perkembangan, sehingga karakteristik dan kemampuan varian berikutnya dapat berubah.

Bagi pengguna, salah satu langkah pencegahan paling penting adalah menghindari pemasangan APK dari sumber yang tidak terpercaya. Selama pengguna tidak memasang file APK berbahaya tersebut dan memberikan akses yang diminta, jalur infeksi yang ditemukan dalam laporan Zimperium tidak dapat berjalan dengan cara yang sama.

(seo)