Mantax Otax è un malware Android che combina ransomware, spyware e controllo remoto del telefono. La campagna è stata documentata da Zimperium il 9 settembre 2026 e, nei campioni analizzati, passa da APK distribuiti fuori da Google Play tramite link, messaggi di phishing e social engineering.
Il rischio non è limitato alla cifratura dei file. Dopo l’installazione, il malware prova a ottenere privilegi di amministratore del dispositivo e accesso ai servizi di Accessibilità, quindi può raccogliere SMS e codici OTP, contatti, cronologia del browser, posizione, informazioni sugli account, messaggi WhatsApp e Telegram, oltre a registrare lo schermo e scattare foto con le fotocamere del telefono.
La parte ransomware è molto più efficace sui dispositivi con Android 9 o versioni precedenti. Su Android 10 e successivi, le restrizioni di Scoped Storage riducono fortemente la quantità di file che l’app può cifrare, ma questo non rende immune il telefono dalla componente spyware e dal controllo remoto.
Cos’è Mantax Otax e perché è diverso da un normale ransomware
La ricerca di Zimperium zLabs su Mantax Otax descrive una minaccia ibrida. Il malware non si limita a bloccare dati per chiedere un riscatto: prima prova a ottenere un livello di visibilità molto ampio sulle attività dell’utente e mantiene un canale di comando e controllo con gli operatori.
I ricercatori collegano i campioni analizzati ad attori indonesiani e hanno trovato elementi che indicano vittime soprattutto in Indonesia. Il metodo di distribuzione, però, è rilevante per qualsiasi utente Android: APK ospitati su servizi di file sharing di terze parti e installati manualmente dopo messaggi o link convincenti.
Una volta installata, l’app chiede prima privilegi da amministratore del dispositivo e poi una serie di autorizzazioni sensibili. Il passaggio più pericoloso è la richiesta dei servizi di Accessibilità, perché consente a un’app malevola di leggere ciò che appare sullo schermo, simulare interazioni e interferire con altre applicazioni.
Android 9 e Android 10+: cosa cambia davvero
| Versione Android | Impatto osservato | Rischio principale |
|---|---|---|
| Android 9 o precedente | Il ransomware può attraversare in modo esteso lo spazio di archiviazione condiviso e cifrare molti file dell’utente | Cifratura dei file + spyware + controllo remoto |
| Android 10 o successivo | Scoped Storage limita fortemente l’accesso generalizzato ai file condivisi | Spyware, furto dati, overlay e controllo remoto restano possibili se vengono concessi i permessi |
Sui vecchi dispositivi, Mantax Otax recupera dal server una chiave specifica per la vittima, cifra i file con AES, elimina gli originali e crea versioni con estensione .enc. Può anche sostituire immagini locali con messaggi che comunicano la cifratura e invitano a pagare.
Da Android 10 Google ha introdotto limitazioni più rigide all’accesso allo storage condiviso. Secondo l’analisi di Zimperium, su queste versioni il modulo ransomware resta confinato soprattutto alla directory esterna dell’app. È una protezione importante, ma non neutralizza le funzioni che dipendono da Accessibilità, notifiche, fotocamera, schermo e altri permessi concessi dall’utente.
Cosa può rubare Mantax Otax
La parte spyware è quella che rende il malware pericoloso anche quando la cifratura dei file è limitata. Nei campioni analizzati, Mantax Otax può raccogliere una quantità molto ampia di informazioni dal telefono compromesso.
- PIN della schermata di blocco, tramite una falsa interfaccia sovrapposta al sistema.
- SMS e codici OTP ricevuti sul dispositivo.
- Contatti, registro chiamate e notifiche.
- Cronologia del browser, elenco delle app e informazioni hardware.
- Posizione e dati sull’operatore di rete.
- Informazioni sugli account Google configurati.
- File e immagini accessibili sul dispositivo.
- Profili e messaggi WhatsApp usando i servizi di Accessibilità.
- Credenziali e chat Telegram, simulando l’apertura delle conversazioni e leggendo il contenuto mostrato.
Questo tipo di raccolta rende particolarmente delicati i telefoni usati per home banking, autenticazione a due fattori e lavoro. È lo stesso motivo per cui i trojan bancari Android restano una categoria ad alto impatto: il nostro vecchio approfondimento sul trojan bancario Nexus mostra come Accessibilità e intercettazione degli OTP possano trasformare un’app malevola in uno strumento di takeover dell’account.
Può vedere lo schermo e usare la fotocamera?
Sì, nei campioni analizzati da Zimperium. Il malware sfrutta l’API MediaProjection di Android per acquisire screenshot, registrare lo schermo in formato MP4 e trasmettere immagini del display quasi in tempo reale. I file catturati possono essere caricati su servizi esterni e il collegamento viene poi inviato agli operatori.
Mantax Otax può inoltre inizializzare la fotocamera anteriore o posteriore e catturare immagini senza mostrare una normale anteprima all’utente. Per questo, dopo una compromissione confermata, non basta controllare se i file siano stati cifrati: bisogna considerare potenzialmente esposti anche contenuti visualizzati sullo schermo, messaggi, codici e immagini.
Come Mantax Otax controlla il telefono da remoto
L’infrastruttura del malware è progettata per cambiare indirizzo senza richiedere una nuova versione dell’APK. Il campione analizzato recupera da un repository GitHub il dominio attivo del server di comando e controllo, quindi registra il dispositivo e riceve istruzioni tramite servizi come Firebase. Una variante più recente introduce anche comunicazioni via WebSocket.
La seconda versione aggiunge funzioni particolarmente invasive: può bloccare l’accesso alle app, intercettare i tocchi con un overlay trasparente, generare finestre di dialogo in continuazione, mostrare video a schermo intero e immagini ripetute. Gli operatori possono perfino usare il motore text-to-speech del telefono per far pronunciare frasi scelte da remoto.
Come capire se hai installato un APK sospetto
Non esiste un singolo sintomo che dimostri da solo la presenza di Mantax Otax. Alcuni segnali, però, giustificano un controllo immediato soprattutto se hai installato di recente un APK ricevuto tramite chat, email, social o un servizio di file sharing.
- un’app sconosciuta compare tra gli amministratori del dispositivo;
- un’app che non ne ha una ragione chiara ha accesso ai servizi di Accessibilità;
- compaiono richieste anomale di accesso a SMS, contatti, fotocamera, microfono o file;
- il telefono mostra overlay, finestre insistenti o blocchi che impediscono di toccare lo schermo;
- alcuni file hanno improvvisamente estensione
.enco le immagini vengono sostituite da messaggi di riscatto; - si osservano consumo dati, attività in background o comportamento del dispositivo non spiegabili da app note.
Questi segnali possono avere anche altre cause. Il punto decisivo è ricostruire quale APK è stato installato, da dove proveniva e quali permessi gli sono stati concessi.
Cosa fare se sospetti Mantax Otax sul telefono
- Isola il dispositivo dalla rete se mostra comportamenti compatibili con una compromissione attiva. Disattivare Wi-Fi e dati mobili può interrompere temporaneamente il canale di comando e controllo.
- Usa un secondo dispositivo affidabile per cambiare le password degli account più importanti e revocare le sessioni che non riconosci. Se sul telefono usavi home banking o ricevevi OTP, controlla anche i movimenti e contatta l’istituto in caso di anomalie.
- Controlla amministratori dispositivo e Accessibilità. Se riesci a identificare l’app sospetta, revoca prima i privilegi che potrebbero impedirne la rimozione e poi disinstallala.
- Aggiorna Android e le patch di sicurezza non appena il dispositivo è in una condizione affidabile. La nostra guida alla patch Android di settembre 2026 spiega come verificare il livello installato.
- Se la compromissione è profonda o non riesci a fidarti dello stato del telefono, valuta un ripristino di fabbrica dopo aver messo al sicuro soltanto i dati personali necessari. Non ripristinare automaticamente l’APK che ha originato l’infezione.
- Se i file sono cifrati, non dare per scontato che pagare garantisca il recupero. Conserva, se possibile, una copia dei file cifrati e valuta assistenza tecnica specializzata prima di cancellare tutto.
Se hai concesso Accessibilità, amministrazione del dispositivo o hai inserito credenziali in schermate sospette, è prudente trattare il caso come una compromissione dell’account oltre che del telefono. La sola disinstallazione dell’app non rende nuovamente segreti PIN, password o codici eventualmente già sottratti.
Come ridurre il rischio di malware Android simili
- Evita APK inviati tramite link, gruppi, forum o servizi di file sharing quando non puoi verificare origine e firma.
- Non concedere Accessibilità a un’app solo perché insiste o dichiara che il permesso è necessario per l’installazione.
- Controlla periodicamente quali app hanno privilegi da amministratore dispositivo.
- Mantieni Android, Google Play e le app aggiornati.
- Non considerare un’app sicura soltanto perché usa il nome o l’icona di un servizio noto: Zimperium ha osservato campioni che si mascherano con nomi legittimi.
- Per app bancarie e account importanti, usa notifiche di accesso e controlla regolarmente le sessioni attive.
Il caso si inserisce in un problema più ampio: app e trojan Android cercano spesso permessi apparentemente giustificabili per ottenere accesso a dati molto più sensibili. Anche il nostro archivio sulle app spyware Android mostra perché è importante leggere le autorizzazioni e non basarsi soltanto sul nome dell’applicazione.
Mantax Otax è presente su Google Play?
Nei campioni analizzati da Zimperium, la distribuzione avveniva tramite APK ospitati su servizi di file sharing di terze parti. La ricerca non descrive una campagna basata su un’app ufficialmente distribuita dal Google Play Store.
Android 10 e versioni successive sono immuni?
No. Scoped Storage riduce fortemente l’efficacia della cifratura dei file, ma le funzioni di spyware, overlay, raccolta dati e controllo remoto possono restare rilevanti se l’app ottiene i permessi necessari.
Il malware può rubare i codici OTP?
Sì. L’analisi tecnica documenta la lettura degli SMS in ingresso e delle notifiche, comprese informazioni che possono contenere codici monouso. Per questo un telefono compromesso non dovrebbe essere usato come canale affidabile per reimpostare gli account finché non viene bonificato.
La cifratura dei file è l’unico problema?
No. La parte più ampia di Mantax Otax è la sorveglianza del dispositivo. Il malware può raccogliere comunicazioni, registrare lo schermo, scattare foto e interferire con l’interfaccia. Anche su un telefono dove il ransomware non riesce a cifrare molti file, il furto di dati resta un rischio serio.
Mantax Otax mostra quindi perché la domanda corretta non è soltanto “può bloccare i miei file?”. Se un APK sconosciuto ottiene privilegi amministrativi e Accessibilità, la priorità è proteggere account, messaggi e dati personali, oltre a ripristinare il dispositivo in uno stato affidabile.
