Un faux message, une application installée hors du Play Store, et ton téléphone devient une passoire. Les chercheurs de Zimperium zLabs viennent de publier l'analyse de Mantax Otax, un malware Android qui empile deux menaces d'ordinaire distinctes : un ransomware, ce logiciel qui chiffre tes fichiers et réclame une rançon, et un espion capable de lire tes messages, ton code PIN et de filmer ton écran en continu.
Derrière la campagne, des opérateurs probablement indonésiens, d'après les indices de langue et les fichiers de victimes récupérés par les chercheurs. Et un harcèlement assumé : dialogues en boucle, vidéos plein écran, messages vocaux joués par les haut-parleurs. On t'explique comment ça marche, et comment éviter la piqûre.
L'infection commence hors du Play Store
Le point d'entrée, c'est un APK, le fichier d'installation d'une application Android, hébergé sur un service de partage de fichiers tiers. Les victimes sont amenées à l'installer à la main via des liens partagés et des messages de phishing. On appelle ça le sideloading : contourner la boutique officielle pour installer une application.
Une fois en place, l'application enchaîne les demandes de permissions : administration de l'appareil, SMS, contacts, audio, images, puis l'accessibilité. Ce dernier service existe à la base pour aider les personnes en situation de handicap, mais il donne un contrôle quasi total de l'écran. Pour un malware, c'est la clé du royaume.
Autre particularité : l'adresse de son serveur de commande, le C2 que les spécialistes appellent le poste de pilotage de l'infection, n'est pas gravée dans le code. Mantax Otax la récupère depuis un dépôt GitHub, ce qui permet aux opérateurs de changer d'infrastructure dès qu'un domaine est bloqué.
Le chiffrement ne mord que sur les vieux Android
Sur un téléphone en Android 9 ou plus ancien, le ransomware scanne le stockage partagé et chiffre images, vidéos, documents, archives et clés avec l'algorithme AES, une clé unique récupérée pour chaque victime. Les originaux sont effacés, les copies se terminent en .enc. Pour que la demande soit impossible à rater, les photos locales sont remplacées par des images de rançon affichant : Your files have been encrypted. Pay to decrypt.
La négociation se déroule dans un chat imposé en plein écran, propulsé par Firebase, le service d'infrastructure de Google. Ironie du sort : une mauvaise configuration de ce serveur a permis aux chercheurs de lire les échanges entre les attaquants et leurs victimes.
Sur Android 10 et plus récents, la donne change : le mécanisme de Scoped Storage, qui cloisonne le stockage entre les applications, confine le malware à son propre dossier. Les appareils à jour sont donc relativement épargnés, quand les modèles plus anciens restent en première ligne.
Espionnage et harcèlement
Le volet espion est tout aussi complet : code PIN de l'écran de verrouillage capté par de fausses superpositions, SMS et codes de vérification à usage unique interceptés, contacts, journal d'appels, historique de navigation, liste d'applications, comptes Google. WhatsApp et Telegram ne sont pas épargnés, le malware simulant des interactions à l'écran pour en extraire profils et conversations.
✉️ Un moment, avant de continuer la lecture…
Le rendez-vous du dimanche : un extrait de la chronique « Un pavé dans la tech », les 4-5 infos qui comptent et un aperçu de la semaine à venir. Inscription gratuite, désinscription en un clic.
Pire : l'API MediaProjection, prévue pour partager son écran, sert ici à prendre des captures, enregistrer des vidéos et diffuser l'écran de la victime quasiment en direct via un service d'hébergement de fichiers. Les caméras peuvent aussi déclencher des photos à l'insu de leur propriétaire.
La version 2 ajoute la touche d'intimidation : dialogues répétés, vidéos plein écran, images qui sautent au visage et messages de synthèse vocale joués dans les haut-parleurs. L'objectif n'est pas seulement de voler, c'est d'épuiser la victime jusqu'au paiement.
Le kit d'espionnage BlueMoon montrait déjà cette semaine que les campagnes d'espionnage mobile se multiplient. Mantax Otax confirme la tendance, avec une obsession en plus : la pression psychologique.
Les réflexes qui bloquent l'attaque
Mantax Otax est déjà détecté et bloqué par Play Protect, la protection intégrée d'Android, sur les appareils à jour. Zimperium fait partie du programme de sécurité de Google, ce qui a accéléré son ajout à la liste noire.
Le reste tient en trois réflexes : n'installe des applications que depuis le Play Store, refuse l'accessibilité à toute application qui n'a pas une raison légitime de la demander, et garde ton téléphone à jour.
La faille critique corrigée cette semaine dans l'appli Canva sur Android l'a encore rappelé : les mises à jour restent ta première défense.
Techniquement, Mantax Otax n'invente rien, chaque brique existait déjà. C'est la combinaison qui fait mal : chiffrement, espionnage et harcèlement réunis dans un seul paquet, avec une préférence pour les téléphones qui ne reçoivent plus de mises à jour. Si ton Android est récent et que tu ne bricoles pas avec des APK douteux, tu ne devrais jamais croiser son chemin. S'il traîne encore en Android 9, en revanche, il est peut-être temps de lui offrir une retraite paisible.
Sources
L'analyse technique de Zimperium zLabs détaille les capacités du malware, de l'infection aux dialogues de rançon exposés par erreur.
Infosecurity Magazine confirme la découverte, le ciblage indonésien présumé et l'arsenal d'espionnage.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet