Ransomware para Android criptografa arquivos, espiona a tela e rouba códigos de autenticação
Pesquisadores de segurança identificaram uma ameaça para Android que combina sequestro de arquivos, espionagem em tempo real e roubo de informações pessoais. Conhecido como Mantax Otax, o malware não se limita a bloquear documentos para exigir resgate: ele também grava a tela do celular, transmite as imagens ao criminoso e pode ativar a câmera sem que o usuário perceba.
A campanha é distribuída principalmente por fora das lojas oficiais de aplicativos. Os criminosos utilizam arquivos APK hospedados em serviços de compartilhamento e enviam os links por aplicativos de mensagens, SMS ou campanhas de phishing. Em geral, a vítima é convencida a instalar manualmente um suposto aplicativo, atualização ou ferramenta útil.
Depois de obter acesso ao dispositivo, o Mantax Otax procura arquivos armazenados no aparelho e os criptografa usando o algoritmo AES. Os arquivos afetados recebem a extensão .enc, o que impede sua abertura pelos aplicativos habituais. Para pressionar a vítima, o ransomware apresenta uma interface de negociação diretamente na tela do celular, simulando um canal de conversa com o operador do ataque.
A ameaça, porém, vai além da criptografia. O malware grava a atividade exibida no smartphone em arquivos de vídeo no formato MP4 e também pode transmitir a tela ao invasor enquanto o aparelho está sendo utilizado. Capturas de tela são enviadas para um serviço externo de hospedagem, permitindo que o criminoso acompanhe ações, conversas, códigos e informações exibidas no dispositivo.
Outro recurso preocupante é o acionamento da câmera. O programa pode fotografar o ambiente ao redor do aparelho sem apresentar um alerta evidente, ampliando a espionagem para além dos dados armazenados no telefone. Dessa forma, a infecção pode expor tanto informações digitais quanto imagens do espaço físico onde a vítima está.
O Mantax Otax explora os serviços de acessibilidade do Android para interagir com a interface e ler o conteúdo apresentado na tela. Esse tipo de permissão foi criado para auxiliar pessoas com deficiência, mas também pode ser abusado por códigos maliciosos. Quando autorizada, a ameaça consegue automatizar toques, acompanhar telas e acessar informações que seriam protegidas contra aplicativos comuns.
A coleta também inclui mensagens SMS, contatos, histórico de chamadas e registros de navegação. Os códigos de autenticação enviados por bancos e outros serviços podem ser interceptados, facilitando invasões a contas que utilizam confirmação por mensagem de texto. Credenciais e conversas de aplicativos como WhatsApp e Telegram também estão entre os alvos.
O malware ainda pode exibir uma tela falsa de bloqueio para induzir o usuário a digitar o PIN do aparelho. A informação capturada pode ser usada para tentar desbloquear o celular, acessar aplicativos financeiros ou contornar outras camadas de proteção. Essa técnica combina engenharia social com recursos técnicos de vigilância.
O alcance da criptografia depende da versão do Android instalada. Em aparelhos com Android 9 ou anterior, a ameaça pode atingir uma parcela ampla do armazenamento externo. A partir do Android 10, o recurso Scoped Storage impõe limitações ao acesso de aplicativos aos arquivos, reduzindo a área que pode ser criptografada. Mesmo assim, as funções de espionagem, captura de tela, interceptação de mensagens e coleta de dados continuam representando um risco significativo.
Indícios linguísticos e arquivos encontrados durante as análises sugerem que a campanha tem foco em usuários da Indonésia. Isso não significa, contudo, que a ameaça esteja necessariamente limitada a esse país. APKs maliciosos podem ser redistribuídos, traduzidos e adaptados para atingir pessoas de outras regiões.
Como evitar a infecção
A principal recomendação é instalar aplicativos somente por lojas oficiais e desenvolvedores conhecidos. Mesmo nessas plataformas, é importante verificar o nome do desenvolvedor, a quantidade de downloads, as avaliações e as permissões solicitadas. Aplicativos que exigem acesso excessivo a SMS, câmera, contatos ou acessibilidade devem ser analisados com cautela.
Arquivos APK recebidos por mensagens, redes sociais ou e-mails devem ser tratados como suspeitos, sobretudo quando acompanhados de promessas de benefícios, atualizações urgentes ou recursos exclusivos. Bancos, fabricantes e empresas confiáveis normalmente não solicitam a instalação de pacotes desconhecidos por esses meios.
As permissões de acessibilidade merecem atenção especial. Elas não devem ser concedidas automaticamente e precisam ser revogadas quando não forem indispensáveis ao funcionamento de um aplicativo. O mesmo cuidado vale para permissões de administrador do dispositivo, leitura de SMS, uso da câmera e acesso a notificações.
Manter o Android atualizado também reduz a exposição a vulnerabilidades e melhora os mecanismos de proteção do sistema. O uso de uma solução de segurança confiável pode ajudar a identificar aplicativos suspeitos, embora nenhuma ferramenta substitua hábitos seguros de instalação e navegação.
O que fazer em caso de suspeita
Sinais como arquivos com extensão desconhecida, tela de bloqueio inesperada, consumo anormal de bateria, ativação inexplicável da câmera ou solicitações insistentes de permissões podem indicar uma infecção. Nessa situação, o usuário deve evitar inserir senhas, PINs ou códigos de autenticação no aparelho comprometido.
Também é recomendável desconectar o dispositivo da internet para limitar a transmissão de dados, sem apagar imediatamente evidências que possam ajudar em uma investigação. Em seguida, o aparelho deve ser analisado por uma equipe especializada ou submetido a uma restauração completa, depois que fotos e documentos importantes forem preservados com segurança.
As senhas de contas acessadas pelo celular precisam ser trocadas a partir de outro dispositivo confiável. É importante encerrar sessões ativas, revisar aplicativos autorizados e avisar bancos e serviços financeiros caso códigos de autenticação tenham sido interceptados.
Backups offline ou armazenados em locais não acessíveis pelo telefone infectado podem reduzir os prejuízos causados pela criptografia. Cópias conectadas permanentemente ao dispositivo, por outro lado, também podem ser atingidas caso o malware consiga acessá-las. A combinação de atualizações, autenticação multifator resistente a interceptações e cópias de segurança independentes oferece uma proteção mais eficiente contra esse tipo de ataque.