Cómo eliminar Mantax Otax de dispositivos Android

¿Qué tipo de malware es Mantax Otax?

Mantax Otax es un ransomware para Android con funciones integradas de spyware, dirigido a usuarios de Indonesia. Cifra los archivos del dispositivo, bloquea la pantalla y obliga a las víctimas a entrar en un chat con los atacantes, mientras roba discretamente mensajes, fotos, contraseñas y otros datos personales. El malware fue analizado por primera vez por el equipo zLabs de Zimperium.

Descripción general del malware Mantax Otax

Mantax Otax está vinculado a actores de amenazas indonesios, y hasta ahora se han encontrado dos versiones, con la segunda basándose en la primera. Las pistas lingüísticas y los archivos recuperados de las víctimas muestran que los operadores se centran en usuarios indonesios.

Justo después de la instalación, el malware solicita derechos de administrador del dispositivo. El aviso de administrador enumera abiertamente capacidades como borrar todos los datos, cambiar el bloqueo de pantalla, bloquear la pantalla y deshabilitar las cámaras. Luego solicita acceso a la cámara, los mensajes SMS, los contactos, el audio y las imágenes, junto con permiso para mostrar contenido sobre otras aplicaciones.

El último paso es una solicitud de acceso a los Servicios de Accesibilidad, mostrada como una ventana emergente en indonesio que pide a la víctima que habilite tanto la Accesibilidad como el acceso a las notificaciones. Una vez concedido, esto da a los atacantes un amplio control sobre el dispositivo, incluida la capacidad de leer lo que hay en la pantalla y tocar en nombre de la víctima.

Mantax Otax se comunica con su servidor de comando y control (C2) a través de HTTPS. En lugar de almacenar la dirección del servidor en su código, obtiene el dominio actual (apimantax[.]otax[.]fun) de un repositorio de GitHub. Esto permite a los operadores cambiar a un nuevo servidor siempre que el antiguo sea bloqueado, sin tener que actualizar el propio malware.

El malware luego asigna al dispositivo un ID único y lo registra en el servidor. Los datos de registro incluyen el modelo y el fabricante del teléfono, la versión de Android, el país, el operador móvil e incluso si se ha establecido un PIN de bloqueo de pantalla. Después de eso, espera comandos, que se entregan a través de Firebase.

Para la parte de ransomware, Mantax Otax solicita una clave de cifrado al servidor C2. Cada clave está vinculada al ID de Android de la víctima, por lo que cada dispositivo infectado recibe una diferente. El malware luego busca fotos, vídeos, documentos, archivos comprimidos, bases de datos y archivos de claves criptográficas, los bloquea con cifrado AES y elimina los originales.

Los archivos cifrados conservan su nombre original con .enc añadido al final (por ejemplo, sample_image.jpg.enc). Algunas imágenes también se sustituyen por copias alteradas estampadas con el mensaje «Your files have been encrypted. Pay to decrypt.» En la prueba de Zimperium, las miniaturas de la galería se convirtieron en iconos de archivo en blanco, con una imagen reemplazada por texto de rescate en rojo.

El daño que esto causa depende de la versión de Android. En Android 9 o anterior, el malware rastrea todo el almacenamiento compartido, omitiendo solo las carpetas del sistema que necesita dejar intactas para evitar que el teléfono se bloquee. Android 10 y posteriores utilizan una protección llamada Scoped Storage, que confina el malware a su propia carpeta de aplicación y limita en gran medida el número de archivos a los que puede acceder.

Una vez finalizado el cifrado, una ventana de chat a pantalla completa titulada SYSTEM PROTECTED se apodera de la pantalla, y el atacante aparece en ella como Mantax Bro!!. Aquí es donde se les dice a las víctimas que negocien un pago. Debido a que los operadores configuraron mal su servidor Firebase, Zimperium pudo leer estas conversaciones, incluidos mensajes de víctimas suplicando recuperar sus archivos.

Combinado con el robo de datos descrito a continuación, esto pone a las víctimas en una situación de doble extorsión, donde tanto sus archivos como su información personal están en manos de los atacantes.

Mantax Otax también puede bloquear el teléfono tras una pantalla de bloqueo del sistema falsa. Una versión dice SYSTEM PROTECTED, afirma que el dispositivo está bajo un bloqueo administrativo y lleva la marca Manta X2 Elite Security, mientras que otra está escrita en indonesio. Ambas piden un PIN, por lo que las víctimas terminan entregando su código real de bloqueo de pantalla directamente a los atacantes.

El lado del spyware es igual de amplio. Al abusar de la función integrada de grabación de pantalla de Android (la API MediaProjection), el malware puede tomar capturas de pantalla, grabar la pantalla como vídeos MP4 y transmitir la pantalla en directo a los atacantes. Las capturas de pantalla y grabaciones se suben al alojamiento de archivos gratuito Catbox, y los enlaces de descarga se envían a los operadores.

Además de eso, Mantax Otax recopila contactos, registros de llamadas, mensajes SMS entrantes (incluidas las contraseñas de un solo uso utilizadas para inicios de sesión), notificaciones, historial del navegador, aplicaciones instaladas, ubicación, cuentas de Google vinculadas, archivos y fotos de la galería. A través de los Servicios de Accesibilidad, también roba perfiles y mensajes de WhatsApp, así como detalles de cuentas y chats de Telegram, abriendo conversaciones por su cuenta y copiando su contenido.

El malware puede tomar fotos en secreto con la cámara frontal o trasera, sin ningún indicio visible en la pantalla. Las fotos se comprimen, se codifican en Base64 y se envían a los operadores; los registros filtrados del servidor muestran que también se almacenan en Catbox.

Los archivos expuestos por el servidor mal configurado también incluían una captura de pantalla del panel de control de los operadores, con la marca Manta Controller. En ese momento, enumeraba 210 dispositivos infectados (solo dos de ellos en línea), incluidos teléfonos de vivo, Infinix y Xiaomi.

La segunda versión cambia a conexiones WebSocket a través de otro subdominio (apixnxx[.]otax[.]fun) y añade nuevos comandos destinados a controlar y atormentar a las víctimas. Puede bloquear la pantalla con un mensaje en indonesio que afirma que el dispositivo está controlado por Manta X2, que toda la actividad está siendo vigilada y que la víctima debe contactar a un administrador para recuperar el acceso.

La versión 2 también puede bloquear aplicaciones individuales y colocar una capa invisible sobre toda la pantalla que absorbe cada toque y deslizamiento, dejando el teléfono visible pero inutilizable. Otros comandos inundan la pantalla con diálogos emergentes, reproducen un vídeo a pantalla completa para ocultar lo que sucede en segundo plano, o parpadean imágenes aterradoras cada 600 milisegundos para crear un efecto estroboscópico desorientador.

Los operadores incluso pueden hacer que el teléfono hable. Un comando remoto de texto a voz lee cualquier mensaje que los atacantes elijan a través del altavoz del dispositivo, con idioma, velocidad y tono ajustables.

En resumen, la presencia de software como Mantax Otax en los dispositivos puede provocar múltiples infecciones del sistema, graves problemas de privacidad, pérdidas económicas y robo de identidad. Las víctimas corren el riesgo de perder sus fotos y documentos, sus cuentas y sus conversaciones privadas todo a la vez.

Hay que mencionar que los desarrolladores de malware a menudo mejoran su software y sus metodologías. Por lo tanto, posibles futuras iteraciones de Mantax Otax podrían tener funcionalidades y características adicionales o diferentes.

Conclusión

Mantax Otax es una desagradable combinación de ransomware y spyware. Puede dejar a una víctima fuera de su teléfono y archivos, presionarla para que pague a través de una ventana de chat y, al mismo tiempo, recopilar casi todo lo que está almacenado o se muestra en el dispositivo. Incluso si los archivos se recuperan, los mensajes, códigos y fotos robados siguen siendo un riesgo a largo plazo.

Otros ejemplos de malware específico para Android incluyen Manic, WindRelay y Rokarolla. Aplicaciones maliciosas como estas tienden a solicitar permisos amplios y a abusar de ellos para robar datos, espiar a los usuarios o apoderarse por completo del dispositivo.

¿Cómo se infiltró Mantax Otax en mi dispositivo?

Zimperium encontró muestras de Mantax Otax alojadas como archivos APK en un servicio de intercambio de archivos de terceros, donde una de ellas se ofrecía bajo el nombre VoCNewEra. Los enlaces a estos archivos suelen difundirse a través de aplicaciones de mensajería, mensajes de phishing y otros trucos de ingeniería social. Dado que la aplicación no está en la Google Play Store, las víctimas tienen que permitir manualmente su instalación.

Los señuelos vistos hasta ahora incluyen una aplicación con un nombre indonesio que insinúa contenido para adultos, y según se informa, algunas muestras se hacen pasar por aplicaciones legítimas como Grok. Los ciberdelincuentes recurren a disfraces como estos porque los usuarios curiosos o confiados tienen más probabilidades de tocar toda la larga lista de solicitudes de permisos sin pensarlo dos veces.

¿Cómo evitar la instalación de malware?

Instale aplicaciones únicamente desde la Google Play Store o el sitio web oficial del desarrollador, y desconfíe de los archivos APK compartidos a través de enlaces de alojamiento de archivos, chats o redes sociales, incluso cuando se los envíe un amigo. Preste atención a los permisos que solicita una aplicación. Un reproductor de vídeo, un chatbot o un juego no tienen ninguna razón para necesitar derechos de administrador, Servicios de Accesibilidad o la capacidad de leer sus mensajes SMS.

Mantenga Android y sus aplicaciones actualizados, ya que las versiones más nuevas de Android limitan a qué puede acceder un malware como este. Ignore los mensajes inesperados que le empujan a descargar algo, y evite las aplicaciones para adultos, pirateadas o «premium gratis» de fuentes no oficiales. También ayuda tener instalado un antivirus móvil de buena reputación y hacer copias de seguridad de fotos y documentos importantes con regularidad.

APK de Mantax Otax alojado en un sitio web de intercambio de archivos de terceros (fuente: zimperium.com):

Solicitudes de permisos mostradas por Mantax Otax durante la instalación (fuente: zimperium.com):

Archivos en un dispositivo infectado antes y después del cifrado de Mantax Otax (fuente: zimperium.com):

Pantallas de bloqueo falsas utilizadas por Mantax Otax para robar el PIN de la víctima (fuente: zimperium.com):

Mensaje de bloqueo de pantalla mostrado por la segunda versión de Mantax Otax (fuente: zimperium.com):

Menú rápido:

• Introducción
• ¿Cómo eliminar el historial de navegación del navegador web Chrome?
• ¿Cómo deshabilitar las notificaciones del navegador en el navegador web Chrome?
• ¿Cómo restablecer el navegador web Chrome?
• ¿Cómo eliminar el historial de navegación del navegador web Firefox?
• ¿Cómo deshabilitar las notificaciones del navegador en el navegador web Firefox?
• ¿Cómo restablecer el navegador web Firefox?
• ¿Cómo desinstalar aplicaciones potencialmente no deseadas o maliciosas?
• ¿Cómo arrancar el dispositivo Android en «Modo seguro»?
• ¿Cómo comprobar el uso de batería de varias aplicaciones?
• ¿Cómo comprobar el uso de datos de varias aplicaciones?
• ¿Cómo instalar las últimas actualizaciones de software?
• ¿Cómo restablecer el sistema a su estado predeterminado?
• ¿Cómo deshabilitar aplicaciones que tienen privilegios de administrador?

Eliminar el historial de navegación del navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Toque «Borrar datos de navegación», seleccione la pestaña «AVANZADO», elija el intervalo de tiempo y los tipos de datos que desea eliminar y toque «Borrar datos».

[Volver al índice]

Deshabilitar las notificaciones del navegador en el navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Configuración» en el menú desplegable que se abre.

Desplácese hacia abajo hasta que vea la opción «Configuración de sitios» y tóquela. Desplácese hacia abajo hasta que vea la opción «Notificaciones» y tóquela.

Busque los sitios web que entregan notificaciones del navegador, tóquelos y haga clic en «Borrar y restablecer». Esto eliminará los permisos concedidos a estos sitios web para entregar notificaciones. Sin embargo, una vez que visite el mismo sitio de nuevo, puede que solicite un permiso otra vez. Puede elegir si concede estos permisos o no (si elige rechazar, el sitio web irá a la sección «Bloqueado» y ya no le solicitará el permiso).

[Volver al índice]

Restablecer el navegador web Chrome:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que encuentre la aplicación «Chrome», selecciónela y toque la opción «Almacenamiento».

Toque «GESTIONAR ALMACENAMIENTO», luego «BORRAR TODOS LOS DATOS» y confirme la acción tocando «ACEPTAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos se eliminarán. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Eliminar el historial de navegación del navegador web Firefox:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Desplácese hacia abajo hasta que vea «Borrar datos privados» y tóquelo. Seleccione los tipos de datos que desea eliminar y toque «BORRAR DATOS».

[Volver al índice]

Deshabilitar las notificaciones del navegador en el navegador web Firefox:

Visite el sitio web que entrega notificaciones del navegador, toque el icono que se muestra a la izquierda de la barra de URL (el icono no será necesariamente un «Candado») y seleccione «Editar configuración del sitio».

En la ventana emergente que se abre, seleccione la opción «Notificaciones» y toque «BORRAR».

[Volver al índice]

Restablecer el navegador web Firefox:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que encuentre la aplicación «Firefox», selecciónela y toque la opción «Almacenamiento».

Toque «BORRAR DATOS» y confirme la acción tocando «ELIMINAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos se eliminarán. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Desinstalar aplicaciones potencialmente no deseadas o maliciosas:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que vea una aplicación potencialmente no deseada o maliciosa, selecciónela y toque «Desinstalar». Si, por alguna razón, no puede eliminar la aplicación seleccionada (por ejemplo, se le muestra un mensaje de error), debería intentar usar el «Modo seguro».

[Volver al índice]

Arrancar el dispositivo Android en «Modo seguro»:

El «Modo seguro» en el sistema operativo Android deshabilita temporalmente la ejecución de todas las aplicaciones de terceros. Usar este modo es una buena manera de diagnosticar y resolver varios problemas (por ejemplo, eliminar aplicaciones maliciosas que impiden que los usuarios lo hagan cuando el dispositivo funciona «normalmente»).

Pulse el botón «Encendido» y manténgalo presionado hasta que vea la pantalla «Apagar». Toque el icono «Apagar» y manténgalo presionado. Después de unos segundos aparecerá la opción «Modo seguro» y podrá ejecutarlo reiniciando el dispositivo.

[Volver al índice]

Comprobar el uso de batería de varias aplicaciones:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Mantenimiento del dispositivo» y tóquelo.

Toque «Batería» y compruebe el uso de cada aplicación. Las aplicaciones legítimas/genuinas están diseñadas para usar la menor energía posible con el fin de ofrecer la mejor experiencia de usuario y ahorrar energía. Por lo tanto, un alto uso de batería puede indicar que la aplicación es maliciosa.

[Volver al índice]

Comprobar el uso de datos de varias aplicaciones:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Conexiones» y tóquelo.

Desplácese hacia abajo hasta que vea «Uso de datos» y seleccione esta opción. Al igual que con la batería, las aplicaciones legítimas/genuinas están diseñadas para minimizar el uso de datos tanto como sea posible. Esto significa que un uso enorme de datos puede indicar la presencia de una aplicación maliciosa. Tenga en cuenta que algunas aplicaciones maliciosas podrían estar diseñadas para operar solo cuando el dispositivo está conectado a una red inalámbrica. Por esta razón, debería comprobar el uso de datos tanto móviles como de Wi-Fi.

Si encuentra una aplicación que usa muchos datos aunque nunca la use, le recomendamos encarecidamente que la desinstale lo antes posible.

[Volver al índice]

Instalar las últimas actualizaciones de software:

Mantener el software actualizado es una buena práctica en lo que respecta a la seguridad del dispositivo. Los fabricantes de dispositivos publican continuamente varios parches de seguridad y actualizaciones de Android con el fin de corregir errores y fallos de los que pueden abusar los ciberdelincuentes. Un sistema desactualizado es mucho más vulnerable, por lo que siempre debería asegurarse de que el software de su dispositivo esté actualizado.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Actualización de software» y tóquelo.

Toque «Descargar actualizaciones manualmente» y compruebe si hay actualizaciones disponibles. Si las hay, instálelas inmediatamente. También recomendamos habilitar la opción «Descargar actualizaciones automáticamente»; permitirá que el sistema le notifique cuando se publique una actualización o la instale automáticamente.

[Volver al índice]

Restablecer el sistema a su estado predeterminado:

Realizar un «Restablecimiento de fábrica» es una buena manera de eliminar todas las aplicaciones no deseadas, restaurar la configuración del sistema a los valores predeterminados y limpiar el dispositivo en general. Sin embargo, debe tener en cuenta que todos los datos dentro del dispositivo se eliminarán, incluidas las fotos, los archivos de vídeo/audio, los números de teléfono (almacenados en el dispositivo, no en la tarjeta SIM), los mensajes SMS, etc. En otras palabras, el dispositivo se restaurará a su estado original.

También puede restaurar la configuración básica del sistema o simplemente la configuración de red.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Acerca del teléfono» y tóquelo.

Desplácese hacia abajo hasta que vea «Restablecer» y tóquelo. Ahora elija la acción que desea realizar:
«Restablecer configuración»: restaura toda la configuración del sistema a los valores predeterminados;
«Restablecer configuración de red»: restaura toda la configuración relacionada con la red a los valores predeterminados;
«Restablecimiento de datos de fábrica»: restablece todo el sistema y elimina completamente todos los datos almacenados;

[Volver al índice]

Deshabilitar aplicaciones que tienen privilegios de administrador:

Si una aplicación maliciosa obtiene privilegios de nivel de administrador, puede dañar gravemente el sistema. Para mantener el dispositivo lo más seguro posible, siempre debería comprobar qué aplicaciones tienen tales privilegios y deshabilitar las que no deberían tenerlos.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Pantalla de bloqueo y seguridad» y tóquelo.

Desplácese hacia abajo hasta que vea «Otras configuraciones de seguridad», tóquelo y luego toque «Aplicaciones de administración del dispositivo».

Identifique las aplicaciones que no deberían tener privilegios de administrador, tóquelas y luego toque «DESACTIVAR».

Preguntas frecuentes (FAQ)

Mi dispositivo Android está infectado con el malware Mantax Otax, ¿debería formatear mi dispositivo de almacenamiento para deshacerme de él?

Normalmente no es necesario formatear para eliminar Mantax Otax. Ejecutar un antivirus móvil de buena reputación como Combo Cleaner debería ser suficiente para detectarlo y eliminarlo. Tenga en cuenta que eliminar el malware (o formatear el dispositivo) no descifrará los archivos que ya han sido bloqueados, así que restáurelos desde una copia de seguridad si tiene una.

¿Cuáles son los mayores problemas que puede causar el malware Mantax Otax?

Mantax Otax puede cifrar fotos y documentos, bloquear el teléfono tras pantallas de bloqueo falsas y robar el PIN real de la pantalla de bloqueo. También graba la pantalla, toma fotos en secreto y recopila mensajes SMS (incluidas contraseñas de un solo uso), contactos, registros de llamadas, historial del navegador y chats de WhatsApp y Telegram.

Como resultado, las víctimas se enfrentan a pérdida de datos, graves problemas de privacidad, pérdidas económicas y robo de identidad.

¿Cuál es el propósito del malware Mantax Otax?

La mayoría de los ataques de malware están motivados por el beneficio económico, y Mantax Otax no es una excepción: presiona a las víctimas para que paguen para recuperar sus archivos mientras recopila datos de los que se puede abusar o vender. Dicho esto, el malware también puede utilizarse para diversión, rencores personales, interrupción, hacktivismo o razones políticas, y las funciones de acoso de la segunda versión sugieren que algunos operadores simplemente disfrutan atormentando a las víctimas.

¿Cómo se infiltró el malware Mantax Otax en mi dispositivo Android?

Mantax Otax se ha difundido como archivos APK en servicios de intercambio de archivos de terceros, con enlaces impulsados a través de aplicaciones de mensajería, mensajes de phishing y otras técnicas de ingeniería social. Las muestras vistas hasta ahora se hacían pasar por una aplicación indonesia de contenido para adultos o por aplicaciones legítimas como Grok. No se distribuye a través de la Google Play Store, por lo que las víctimas tienen que instalarlo manualmente.

¿Me protegerá Combo Cleaner del malware?

Combo Cleaner es capaz de detectar y eliminar casi todas las infecciones de malware conocidas, incluidas amenazas como Mantax Otax. Realizar un análisis completo del sistema es esencial, ya que los programas maliciosos sofisticados normalmente se ocultan en lo más profundo del sistema.