Ransomware de Android que grava sua tela, rouba seus OTPs e tira fotos escondido

Introdução

Um novo malware para Android combina, em um único arquivo, as duas piores qualidades do mundo mobile: criptografa os arquivos da vítima como um ransomware e, ao mesmo tempo, espiona o aparelho como um spyware. Batizado de Mantax Otax, ele grava a tela em tempo real, rouba códigos de verificação, clona conversas de aplicativos de mensagem e tira fotos pelas câmeras sem que o dono do celular perceba.

A descoberta é do laboratório Zimperium (empresa de segurança mobile que mantém a equipe de pesquisa zLabs), que compartilhou a análise com o Cyber Security News em 11 de setembro. Os pesquisadores atribuem a operação a atores indonésios: pistas de idioma e arquivos de vítimas recuperados indicam um foco específico na Indonésia. Para o usuário brasileiro, o alerta é o método de entrega — universal e idêntico ao de outras campanhas já cobertas aqui no site, como a do StreamRAT, um RAT Android capaz de espionar e controlar remotamente a tela da vítima —, mais do que o alvo geográfico.

O pacote: ransomware e spyware em um único APK

O Mantax Otax circula como um APK (pacote de instalação do Android, distribuído fora das lojas oficiais) hospedado em serviços de compartilhamento de arquivos de terceiros. O caminho até o download é sempre o mesmo: links compartilhados em aplicativos de mensageria, mensagens de phishing e posts em redes sociais que convencem a vítima a instalar o app manualmente, em um processo conhecido como sideloading (instalação de aplicativos a partir de arquivos APK, fora da loja oficial).

Essa estratégia de distribuição não é novidade: ao fugir das lojas oficiais, os operadores contornam a varredura e a revisão que o Google Play aplica antes de publicar um app. O resultado é uma infecção que entrega, ao mesmo tempo, uma crise de extorsão e uma crise de privacidade: os arquivos ficam reféns de uma criptografia, enquanto a tela, as câmeras, os contatos e as mensagens viram matéria-prima de espionagem.

Vale um destaque de honestidade: a análise é de um fornecedor de segurança sobre uma amostra real do malware, com foco em vítimas indonésias — até o momento não há registro confirmado de vítimas no Brasil. Mas o vetor de infecção, o APK fora da loja, é universal e já foi observado em campanhas documentadas pelo Zero Day Security.

O caminho das permissões: do administrador ao Accessibility

A infecção segue uma escada de permissões desenhada para dar controle total ao atacante, uma etapa de cada vez, para não levantar suspeitas. Depois de instalado, o Mantax Otax pede privilégios de administrador do dispositivo (device admin — nível de permissão que dá controle administrativo sobre funções do aparelho). Com eles garantidos, passa a solicitar acesso a SMS, contatos, áudio e imagens — o material básico da espionagem. A etapa final da escalada é o pedido de acesso ao Accessibility (recurso legítimo do Android que permite a aplicativos lerem o conteúdo da tela e executarem ações em nome do usuário), a permissão que transforma um app comum em uma ferramenta de controle total do que é exibido e tocado no celular.

O abuso do Accessibility não é exclusivo deste malware: é o mesmo caminho usado pelo Crocodilus (trojan bancário para Android que se vale de overlays e da leitura de tela para roubar credenciais) e pela campanha do StreamRAT, que também explora a permissão para ler e manipular o que aparece na tela.

Criptografia com limite: AES, .enc e o Scoped Storage

Na fase de extorsão, o Mantax Otax busca dinamicamente uma chave de criptografia no servidor de comando e controle (C2 — infraestrutura que distribui comandos ao malware e recebe os dados roubados). A requisição inclui o identificador Android único de cada aparelho, o que garante uma chave diferente para cada vítima.

De posse da chave, o malware varre o armazenamento local atrás de imagens, vídeos, documentos, arquivos, bancos de dados e chaves criptográficas. Em dispositivos com Android 9 ou versões anteriores, a varredura é profunda e recursiva no armazenamento externo compartilhado, atingindo a grande maioria dos dados do usuário — os operadores só ignoram os diretórios de sistema para não derrubar o próprio aparelho. Os arquivos são travados com o algoritmo AES (Advanced Encryption Standard — criptografia simétrica usada para bloquear os arquivos), os originais são apagados e cada arquivo criptografado ganha a extensão .enc. Para garantir visibilidade, o malware ainda sobrescreve imagens locais com um aviso de resgate: "Your files have been encrypted. Pay to decrypt."

No Android 10 ou superior, o estrago é bem menor graças ao Scoped Storage (modelo de armazenamento do Android 10 em diante que isola cada aplicativo na sua própria área de dados). Com a sandbox, o ransomware fica limitado a varrer apenas o diretório externo do próprio app, o que reduz drasticamente o raio de destruição. A limitação, porém, não elimina o perigo: mesmo sem conseguir criptografar o celular inteiro, o componente de espionagem continua operando normalmente.

O lado espião: MediaProjection, câmera oculta e Catbox

A metade spyware do Mantax Otax abusa da API nativa MediaProjection (recurso do Android que permite capturar o conteúdo da tela) para estabelecer vigilância contínua do aparelho. O módulo suporta três modos: captura de screenshots estáticos, gravação completa da tela em MP4 e transmissão ao vivo quase em tempo real. Os screenshots são comprimidos em JPEG e enviados ao Catbox (serviço gratuito de hospedagem de arquivos usado pelos operadores para guardar o material roubado), e a URL gerada é devolvida ao atacante, que ganha acesso imediato ao conteúdo. No modo de transmissão ao vivo, os frames da tela são capturados, comprimidos, codificados em Base64 (codificação que converte dados binários em texto para transmissão) e enviados ao operador em intervalos curtos.

O mesmo abuso de captura de tela apareceu recentemente na campanha do StreamRAT, onde operadores podiam observar e manipular o celular das vítimas — comportamento que o Zero Day Security já documentou no artigo StreamRAT: trojan de Android usado em fraude de streaming e na cobertura da campanha de streaming fraudulenta.

A vigilância também alcança o mundo físico: o malware é capaz de abrir a câmera frontal ou traseira do aparelho por meio de uma superfície de preview oculta e capturar fotos sem nenhuma interação visível do usuário. A imagem é comprimida, armazenada localmente, codificada em Base64 e enviada ao atacante — que passa a ter, literalmente, uma janela para dentro da casa da vítima.

OTP, WhatsApp, Telegram e o PIN: o roubo de identidade

O Mantax Otax carrega um motor de coleta de dados pessoais que esvazia o aparelho em várias frentes: contatos, registros de chamadas, histórico do navegador, localização, lista de aplicativos instalados, informações do dispositivo, configurações de contas Google vinculadas e arquivos da galeria.

A peça mais perigosa é o roubo de códigos de verificação. O malware monitora notificações do sistema e mensagens SMS recebidas, colocando em risco os códigos OTP (one-time password — senha de uso único, normalmente enviada por SMS ou notificação, usada na autenticação de dois fatores). Com o OTP em mãos, o atacante consegue completar a autenticação multifator (MFA — método que exige mais de uma prova de identidade, como senha mais código) e invadir contas mesmo quando a vítima fez "tudo certo" em segurança.

Os aplicativos de mensagem também estão na mira. Usando cliques simulados via Accessibility, o malware abre conversas e extrai perfis e mensagens do WhatsApp (mensageiro com criptografia de ponta a ponta, alvo frequente de clonagem) e credenciais e histórico do Telegram (mensageiro baseado em nuvem, que sincroniza conversas entre dispositivos). E há ainda um golpe de engenharia social embutido: um overlay falso de bloqueio do sistema se apresenta como um processo legítimo, trava o acesso ao aparelho e captura o PIN da tela de bloqueio digitado pela vítima — a chave física do celular nas mãos do atacante.

Dupla extorsão: o chat de resgate na tela

Concluída a criptografia, o malware altera a interface do aparelho e força a exibição de um chat interativo na tela. Pela conversa, os atacantes negociam o resgate diretamente com a vítima, em tempo real, criando o cenário clássico de dupla extorsão (modalidade em que o atacante ameaça vazar os dados roubados além de cobrar pela descriptografia): além de devolver os arquivos, o pagamento "compra" o silêncio sobre o material espionado — fotos, conversas e telas gravadas.

A análise do backend revelou um detalhe revelador: as conversas de extorsão são intermediadas pelo Firebase (plataforma de backend da Google usada aqui como canal de comando), e uma configuração incorreta no servidor expôs os diálogos entre atacantes e vítimas — além de uma captura de tela do painel de controle da operação, com o número de dispositivos infectados.

Há ainda uma segunda versão do malware, o Mantax Otax v2, que evolui o arsenal: comunicação por WebSocket (protocolo que mantém um canal bidirecional e contínuo entre o dispositivo e o servidor), bloqueio remoto de aplicativos, uma camada transparente que absorve todos os toques, pop-ups disruptivos, overlays de vídeo em tela cheia e mensagens de texto-para-fala enviadas remotamente — um kit completo de assédio e controle da interface.

Detecção e IoCs

A identificação do Mantax Otax começa por padrões comportamentais, mais confiáveis do que qualquer assinatura:

• O pedido sequencial de permissões (administrador do dispositivo, depois SMS/contatos/áudio/imagens, depois Accessibility) é uma assinatura forte de malware mobile.
• A ativação recente e sem explicação do serviço de Accessibility em um app não confiável merece investigação imediata.
• Pedidos de captura de tela e o tráfego de saída para domínios desconhecidos ou para o Catbox são sinais de exfiltração em andamento.

O indicador de comprometimento (IoC) público da campanha:

Tipo	Indicador	Descrição
Domínio C2	hxxps://apimantax.otax.fun	Domínio ativo de comando e controle, buscado dinamicamente pelo malware em um repositório no GitHub (plataforma de hospedagem de código usada aqui como repositório dinâmico de endereços C2)

A técnica de resolução dinâmica do C2 é uma proteção para os operadores: se o domínio for bloqueado, eles trocam o endereço no repositório remoto sem precisar alterar o código do malware. A lista completa de IoCs está no repositório oficial da Zimperium. Como em qualquer análise de malware, os indicadores acima estão desarmados (hxxps e . no lugar dos pontos) para evitar resolução acidental — reative-os apenas em ambientes controlados, como SIEM, MISP ou VirusTotal.

Como se proteger

A defesa contra o Mantax Otax começa antes da instalação de qualquer aplicativo.

Instale aplicativos apenas pela loja oficial. O Google Play e as lojas oficiais dos fabricantes aplicam varredura e revisão que dificultam a distribuição desse tipo de malware. APKs prometidos em mensagens não solicitadas, posts em redes sociais e links de serviços de compartilhamento são o principal vetor do Mantax Otax — a regra vale para qualquer usuário, inclusive no Brasil, onde não há vítimas confirmadas, mas o método de entrega é o mesmo de outras campanhas ativas.

Rejeite permissões que não fazem sentido para o aplicativo. O combo Accessibility, administrador do dispositivo, SMS, captura de tela e câmera deveria acender todos os alarmes. Se um app cuja função não exige esses recursos pede esse pacote, é exatamente o padrão de escalonamento do Mantax Otax: negue e desinstale.

Tela de bloqueio estranha ou overlay persistente? Desconecte e não digite o PIN. O malware simula um processo de bloqueio do sistema para capturar o PIN e usa camadas transparentes para absorver toques. Ao ver uma tela de bloqueio inesperada, um aviso de resgate ou pop-ups repetidos, desligue o aparelho da rede imediatamente e procure suporte confiável antes de digitar qualquer senha ou código.

Mantenha o Android atualizado. Nas versões Android 10 ou mais recentes, o Scoped Storage reduz drasticamente o alcance da criptografia, limitando o estrago à área de dados do próprio app. Atualizar o sistema operacional é a medida mais simples para encolher o raio de destruição de um ransomware como este.

Bloqueie o acesso ao C2 na rede. Serviços de DNS com bloqueio de malware, como o Quad9, impedem a resolução de domínios conhecidos de comando e controle — um freio barato e eficaz, principalmente em redes corporativas.

Organizações: monitore o que roda nos dispositivos gerenciados. Fique atento a apps instalados via sideloading, ativação incomum do Accessibility, pedidos de captura de tela e tráfego de saída anômalo para domínios desconhecidos. E, acima de tudo, mantenha backups dos dados importantes — a melhor garantia contra qualquer ransomware, inclusive os que também espionam.

Conclusão

O Mantax Otax representa uma convergência preocupante no crime mobile: ransomware e spyware no mesmo pacote, com o roubo de OTPs e a clonagem de mensageiros transformando um celular infectado em uma ferramenta de tomada de contas — e a câmera e a tela gravadas como munição extra de extorsão. O foco atual é indonésio, e não há vítimas confirmadas no Brasil, mas o vetor de infecção é universal: um APK fora da loja, instalado por conta de um clique em um link recebido.

A boa notícia é que a defesa também é universal e começa com hábitos simples: instalar apps apenas de fontes oficiais, desconfiar de permissões exageradas e, diante de uma tela de bloqueio suspeita, desconectar o aparelho antes de digitar qualquer coisa. No Android 10 ou superior, o sistema operacional já limita o estrago da criptografia — mas a espionagem continua sendo um risco real em qualquer versão. Como mostra o histórico do StreamRAT, coberto aqui no site, o sideloading segue sendo o cavalo de Troia preferido do malware mobile brasileiro e mundial.

Perguntas frequentes

O que é o Mantax Otax?

É um malware Android que combina ransomware e spyware em um único APK: criptografa os arquivos da vítima, grava a tela em tempo real, rouba códigos de verificação OTP, clona conversas do WhatsApp e do Telegram e tira fotos pelas câmeras sem interação visível. Foi descoberto pelo laboratório zLabs da Zimperium, com indícios de operação por atores indonésios.

Como o Mantax Otax infecta o celular?

O malware é distribuído como um APK hospedado em serviços de compartilhamento de arquivos de terceiros, fora da loja oficial. As vítimas chegam até ele por links compartilhados em aplicativos de mensageria, mensagens de phishing ou posts em redes sociais e são persuadidas a instalar o app manualmente, em um processo chamado sideloading.

O que acontece quando o Mantax Otax criptografa os arquivos?

O malware busca uma chave de criptografia AES no servidor de comando e controle, varre o armazenamento em busca de imagens, vídeos, documentos e chaves criptográficas, apaga os originais e substitui por arquivos com a extensão .enc. Imagens locais são sobrescritas com um aviso de resgate, e um chat na tela permite negociar o pagamento diretamente com os atacantes.

O Mantax Otax afeta celulares com Android 10 ou superior?

Sim, mas com danos limitados na parte de criptografia: o Scoped Storage, presente desde o Android 10, isola cada aplicativo na sua própria área de dados, impedindo que o ransomware alcance a maior parte dos arquivos do usuário. A vigilância por spyware, porém, continua funcionando normalmente em qualquer versão do sistema.

Como o malware rouba os códigos OTP?

O Mantax Otax monitora as notificações do sistema e as mensagens SMS recebidas, capturando os códigos de verificação de uso único usados na autenticação multifator. Com o OTP, o atacante consegue completar o login em contas da vítima mesmo sem a senha, além de usar um overlay falso de bloqueio para capturar o PIN da tela.

O que fazer se o celular foi infectado pelo Mantax Otax?

Desconecte o aparelho da rede imediatamente, sem digitar senhas ou PINs, e procure suporte confiável. Não pague o resgate: o pagamento financia a operação e não garante a devolução dos arquivos — e, no caso de dupla extorsão, os dados espionados podem ser vazados mesmo assim. Se houver backup, a restauração é o caminho mais seguro.

O Mantax Otax já atingiu vítimas no Brasil?

Até o momento não há registro confirmado de vítimas no Brasil. A análise da Zimperium indica foco em usuários indonésios, com pistas de idioma e arquivos de vítimas coletados na operação. O alerta para o público brasileiro é o vetor de infecção, o APK fora da loja, que é universal e já foi explorado em outras campanhas de malware mobile.

Como as organizações podem detectar o Mantax Otax?

Monitorando dispositivos gerenciados em busca de apps instalados via sideloading, ativação incomum do serviço de Accessibility, pedidos de captura de tela e tráfego de saída anômalo para domínios desconhecidos ou serviços de hospedagem como o Catbox. Serviços de DNS com bloqueio de malware, como o Quad9, ajudam a frear a comunicação com o servidor de comando e controle.

Fontes e leituras adicionais

• Cyber Security News — New Android Ransomware Records Screens, Steals OTPs and Secretly Takes Photos of Victims — 11/09/2026
• Zimperium — Mantax Otax: Indonesian mobile ransomware with spyware integration — 09/2026