RRI.CO.ID, Dallas - Peneliti keamanan siber Zimperium baru saja membongkar malware Android bernama Mantax Otax yang diduga kuat dibuat oleh aktor ancaman asal Indonesia. Malware ini secara spesifik menyasar pengguna di Indonesia dan menggabungkan kemampuan ransomware, spyware, serta alat teror psikologis dalam satu paket berbahaya.
File APK Mantax Otax disebar di luar Google Play Store, lewat layanan berbagi file pihak ketiga, dengan menjebak korban melalui phishing dan rekayasa sosial. Begitu terpasang, aplikasi ini meminta akses sebagai admin perangkat dan izin Accessibility Service, salah satu fitur aksesibilitas bawaan Android, untuk mengambil alih hampir semua fungsi ponsel korban.
"Indikator bahasa dan file-file dari korban menunjukkan bahwa pelaku secara spesifik menyasar target di Indonesia," tulis Zimperium dalam laporannya. Namun, klaim asal-usul ini belum bisa dipastikan sepenuhnya karena Zimperium hanya mendasarkan dugaan itu pada indikator bahasa dan pola file korban, bukan pelacakan langsung ke identitas pelaku.
Mantax Otax memanfaatkan izin Accessibility Service untuk membaca pesan WhatsApp dan Telegram korban secara langsung, termasuk mencuri kode OTP yang biasa dipakai untuk transaksi perbankan. Data lain yang ikut disasar antara lain PIN layar kunci, pesan SMS, log panggilan, kontak, riwayat penjelajahan di browser, informasi akun Google, dan lokasi pengguna.
Malware ini juga bisa mengakses aplikasi kamera dan memotret diam-diam, baik kamera depan maupun belakang, tanpa perlu bantuan apa pun dari pengguna. Layar ponsel korban bahkan bisa direkam dalam format video MP4 memakai teknologi MediaProjection, lalu hasilnya dikompres dan diunggah ke layanan penyimpanan gambar Catbox.
Fungsi ransomware Mantax Otax menyasar storage ponsel, termasuk foto, video, dokumen, arsip, database, sampai kunci kriptografi milik korban. File-file itu dienkripsi pakai algoritma AES, lalu tiap file diberi akhiran ".enc" dengan kunci enkripsi unik untuk tiap korban yang diambil dari server C2 berdasarkan Android ID perangkat.
Setelah proses ini selesai, Mantax Otax menimpa galeri foto korban dengan gambar permintaan tebusan, lalu menyediakan chat sendiri untuk negosiasi pembayaran yang berjalan lewat layanan Firebase milik Google. Kabar baiknya, kemampuan mengunci file ini ada batasnya karena fungsi ransomware cuma efektif di ponsel Android 9 ke bawah.
Di luar pencurian data, Mantax Otax dirancang buat menekan korban secara psikologis lewat window dialog yang muncul berulang kali, video yang tiba-tiba memenuhi layar, sampai gambar jumpscare yang muncul sekilas setiap 600 milidetik sekali. Layar ponsel korban bisa dikunci pakai overlay, setelah itu pesan ancaman diputar lewat teknologi text-to-speech yang dikendalikan pelaku dari jarak jauh.
Pola serangan seperti ini dikenal sebagai pemerasan ganda (double extortion), di mana gabungan tiga kebisaan dalam satu aplikasi ini terbilang jarang ditemukan di malware Android pada umumnya. Pada varian V2, Zimperium mencatat Mantax Otax beralih pakai protokol WebSocket, yang membuat lalu lintas datanya lebih sulit dideteksi sistem keamanan biasa.
Server pengendali (command and control/C2) milik Mantax Otax memakai domain berakhiran ".otax.fun" yang alamatnya diambil dari repositori GitHub. Dengan cara ini, pelaku bisa mengganti tujuan server kapan saja tanpa perlu memperbarui aplikasi malware yang sudah terpasang di ponsel korban.
Agar tidak terdampak, Zimperium menyarankan pengguna Android cuma menginstal aplikasi dari Google Play Store dan menghindari aplikasi dari sumber tak dikenal. Saat ini, Mantax Otax sudah terdeteksi dan diblokir di perangkat Android dengan Play Protect aktif dan menjalankan update keamanan terbaru.
Rekomendasi Berita
Memuat berita terbaru.....