נוזקת אנדרואיד חדשה משלבת כופרה, ריגול והטרדה בחבילה אחת

חברת אבטחת המובייל Zimperium חשפה נוזקת אנדרואיד חדשה בשם Mantax Otax, שמשלבת כופרה עם ריגול מקיף ותוספת לא שגרתית: הטרדה פסיכולוגית ישירה של הקורבן. הנוזקה מופצת כרגע בעיקר באינדונזיה, אבל שיטת ההפצה שלה — קבצי APK מחוץ ל-Google Play דרך פישינג — רלוונטית לכל מי שמתקין אפליקציות ממקורות לא רשמיים.

איור קונספטואלי של סמארטפון עם נעילה ומעקב

הפרטים

הנוזקה מופצת כקובץ APK עצמאי המתארח מחוץ לחנות האפליקציות הרשמית, ומגיעה לקורבנות דרך הודעות פישינג והנדסה חברתית. לאחר ההתקנה היא מבקשת הרשאות מנהל מכשיר וגישה למצלמה, הודעות SMS, אנשי קשר, אודיו ותמונות, ומציגה תכנים מעל אפליקציות אחרות. בצד הכופרה היא מצפינה קבצים במכשירים המריצים גרסאות אנדרואיד ישנות (עד אנדרואיד 9) עם מפתחות ייחודיים לכל קורבן, ומחליפה תמונות במכשיר בהודעות כופר. בצד הריגול היא גונבת קודי PIN של מסך הנעילה, הודעות SMS וקודי אימות חד-פעמיים (OTP), היסטוריית גלישה, אנשי קשר ופרטי חשבון Google, ומצלמת מסך ותמונות באמצעות ה-API של MediaProjection — כולל מעקב אחר פעילות ב-WhatsApp ו-Telegram.

גרסה שנייה של הנוזקה הוסיפה שכבת הטרדה: חלונות קופצים חזרתיים, סרטונים במסך מלא והקפצות מבהילות, והודעות קוליות מאיימות שנועדו להפעיל לחץ על הקורבן לשלם. Google מסרה כי שירות Play Protect כבר מזהה את הנוזקה במכשירים מעודכנים.

נקודות לשים לב

אל תתקינו קבצי APK ממקורות מחוץ ל-Google Play, גם אם הם מגיעים בקישור שנשלח לכאורה מגורם מוכר.
סרבו לבקשות הרשאת "נגישות" (Accessibility) או הרשאות מנהל מכשיר מאפליקציה שלא הותקנה מחנות רשמית — אלה ההרשאות שהנוזקה מנצלת כדי להשתלט על המכשיר.
ודאו ששירות Play Protect פעיל ושהמכשיר מעודכן — Google מדווחת שהוא כבר מאתר את הנוזקה הזו.
אם מכשיר נדבק, נזק הריגול (גניבת OTP, סיסמאות והודעות) חמור לפחות כמו הצפנת הקבצים — יש לשנות סיסמאות וקודי אימות מכל חשבון רגיש שהיה נגיש מהמכשיר, לא רק לנסות לשחזר קבצים.
כרגע ההפצה ממוקדת באינדונזיה, אבל שיטת ההדבקה אינה תלויה מדינה — אין להסיק שהסיכון לא רלוונטי רק בגלל המיקום הנוכחי.