Zimperium détaille un malware Android mêlant espionnage massif et chiffrement. Une bascule tactique qui change le niveau de risque sur mobile.
En bref
- Zimperium identifie un malware Android hybride
- Espionnage massif plus chiffrement sur Android anciens
- Mantax Otax v2 ajoute blocage et harcèlement
Le mobile redevient un terrain crédible pour le ransomware. Pas seul, justement. Avec Mantax Otax, l’attaque mélange espionnage, vol de données et extorsion en direct, un cocktail autrement plus gênant pour les particuliers comme pour les flottes Android en entreprise.
Un ransomware mobile qui ne se contente plus de chiffrer
L’équipe zLabs de Zimperium décrit une souche liée à des acteurs indonésiens qui additionne les deux mondes. D’un côté, elle siphonne écran, SMS, appels, contacts, fichiers et PIN de verrouillage. De l’autre, elle chiffre les données avec AES sur les appareils sous Android 9 ou plus anciens.
Le détail qui change tout, c’est l’après-chiffrement. Les fichiers d’origine sont supprimés, remplacés par des versions en.enc, puis le terminal affiche un chat à l’écran pour négocier la rançon en temps réel via Firebase. On n’est plus dans le simple blocage opportuniste, mais dans une vraie logique de double extorsion.
L’infection passe par le sideloading, puis la prise de contrôle totale
La diffusion observée repose sur un APK hébergé sur un service tiers de partage de fichiers. Donc pas mal de sideloading, avec des liens envoyés via messageries, hameçonnage et campagnes d’ingénierie sociale pour contourner les contrôles des stores officiels.
Une fois installé, le malware réclame les privilèges d’administrateur de l’appareil, puis enchaîne les demandes d’accès à l’audio, aux images, aux contacts et aux SMS. La dernière marche, c’est le service d’accessibilité. Là, l’attaquant obtient pratiquement les clés du téléphone.
Une collecte de données très large, jusqu’à l’écran et à la caméra
La partie spyware est franchement dense. Mantax Otax remonte l’historique du navigateur, la localisation, l’inventaire des applis, les caractéristiques matérielles, les notifications, les journaux d’appels et les SMS entrants, y compris les OTP. Il extrait aussi les comptes Google, les médias de la galerie et des échanges privés sur WhatsApp et Telegram.
Et ce n’est pas fini. Le module basé sur l’API MediaProjection permet captures JPEG, enregistrements MP4 et flux d’écran quasi temps réel. Les fichiers partent vers Catbox, puis l’URL est renvoyée à l’opérateur. Le malware peut aussi prendre des photos avec la caméra avant ou arrière, sans interaction visible.
Infrastructure souple, ciblage indonésien et version 2 plus agressive
Côté infra, les échanges passent en HTTPS. Le domaine C2 actif est récupéré depuis un dépôt GitHub, une astuce simple pour pivoter vite si un serveur tombe. Après génération d’un device_id, l’appareil s’enregistre sur l’endpoint /register avec position géographique, opérateur réseau et version Android.
Les indices linguistiques, plus des fichiers exposés à cause d’une mauvaise configuration Firebase, pointent vers des victimes en Indonésie. La version 2 bascule en partie sur des WebSockets et devient plus pénible encore, avec écran bloqué, overlay transparent qui avale les gestes tactiles, rafales de pop-ups, vidéo plein écran, images type jumpscare toutes les 600 millisecondes et même synthèse vocale à distance.
Pourquoi ce cas va intéresser les équipes sécurité mobile
Sur Android 10 et plus, le Scoped Storage limite nettement le rayon d’action du chiffrement aux fichiers externes de l’application. C’est une bonne nouvelle, quand même. Mais pour les équipes sécurité, le signal est clair, le malware mobile sait désormais combiner nuisance, collecte et négociation sur le terminal lui-même.
Zimperium affirme bloquer la campagne avec MTD et zDefend, avec en plus un filtrage web capable d’empêcher l’installation et les échanges avec le C2. Bref, un rappel utile, le risque Android ne se joue plus seulement au niveau de l’APK, mais sur toute la chaîne d’exploitation.
