INBERITA.COM, Ancaman terhadap Pengguna dengan kebutuhan aksesibilitas, tetapi dalam kasus malware, izin tersebut dapat disalahgunakan untuk memantau aktivitas dan berinteraksi dengan berbagai elemen pada layar.
Mantax Otax juga meminta hak administrator perangkat. Kombinasi akses tersebut membuat malware memiliki ruang yang sangat luas untuk menjalankan aktivitas berbahaya tanpa harus terus-menerus meminta persetujuan korban.
Indikasi bahwa Mantax Otax secara khusus menyasar Indonesia terlihat dari sejumlah petunjuk yang ditemukan di dalam malware. Peneliti menyebut indikator bahasa dan file milik korban menunjukkan adanya fokus terhadap pengguna Indonesia.
“Indikator bahasa dan file-file dari korban menunjukkan bahwa pelaku secara spesifik menyasar target di Indonesia,” tulis Zimperium dalam laporannya.
Namun, dugaan tersebut tidak berarti identitas atau kewarganegaraan pembuat malware telah terkonfirmasi. Petunjuk bahasa dan karakteristik file lebih tepat dipandang sebagai indikator mengenai target operasi, bukan bukti langsung mengenai siapa pelakunya.
Infrastruktur yang digunakan malware juga dapat berubah. Server command and control (C2) Mantax Otax menggunakan domain dengan akhiran “.otax.fun”.
Alamat server tersebut diambil dari repositori GitHub sehingga pelaku dapat mengganti tujuan komunikasi malware tanpa harus mendistribusikan ulang aplikasi yang sudah terpasang.
Mekanisme seperti ini memberi keuntungan bagi operator malware. Ketika sebuah server diblokir atau terdeteksi, tujuan komunikasi dapat diubah dari jarak jauh.
Chat dan OTP menjadi sasaran
Salah satu kemampuan Mantax Otax yang paling mengkhawatirkan adalah memanfaatkan Accessibility Service untuk membaca isi komunikasi dari WhatsApp dan Telegram.
Ancaman ini menjadi lebih serius karena malware tidak berhenti pada percakapan. Informasi login Telegram juga dapat menjadi sasaran, sementara kode OTP yang masuk ke perangkat bisa ikut dicuri.
OTP biasanya digunakan sebagai lapisan keamanan tambahan ketika pengguna masuk ke akun, melakukan transaksi, atau mengonfirmasi aktivitas tertentu. Jika kode tersebut berhasil diperoleh penyerang bersamaan dengan informasi lain, lapisan perlindungan akun dapat menjadi jauh lebih lemah.
Data yang dapat dikumpulkan Mantax Otax juga mencakup PIN layar kunci, SMS, riwayat panggilan, daftar kontak, aktivitas browser, informasi akun Google, hingga lokasi perangkat.
Dengan kata lain, persoalannya bukan sekadar kebocoran satu aplikasi pesan. Malware ini berpotensi memberikan gambaran menyeluruh mengenai aktivitas digital pemilik perangkat.
Kamera ponsel pun dapat disalahgunakan. Mantax Otax diketahui mampu mengakses kamera depan maupun belakang dan mengambil gambar tanpa interaksi langsung dari pengguna.
Kemampuan lainnya adalah merekam layar menggunakan teknologi MediaProjection. Rekaman kemudian dapat dikompres sebelum dikirimkan ke layanan penyimpanan gambar Catbox.
Fitur tersebut membuka risiko tambahan karena informasi yang terlihat di layar—mulai dari percakapan, dokumen, halaman web, hingga aktivitas di aplikasi tertentu—dapat ikut terekspos.
Tidak hanya mencuri data, file korban juga bisa dikunci
Mantax Otax memiliki komponen ransomware yang membuat ancamannya semakin kompleks.
Malware tersebut dapat mengenkripsi berbagai jenis file di penyimpanan perangkat, termasuk foto, video, dokumen, arsip, database, dan material kriptografi. File yang terkena enkripsi diberi ekstensi “.enc”.
Kunci enkripsi dibuat secara spesifik untuk korban dan diperoleh dari server C2 dengan memanfaatkan Android ID perangkat. Setelah proses berlangsung, galeri korban dapat diganti dengan gambar berisi tuntutan pembayaran.
Pelaku bahkan menyediakan mekanisme komunikasi untuk melakukan negosiasi tebusan melalui layanan Firebase.
Meski demikian, ada batas penting pada kemampuan ransomware ini. Berdasarkan temuan peneliti, fungsi enkripsi file tersebut efektif pada perangkat yang menjalankan Android 9 atau versi lebih lama.
Perangkat dengan Android 10 dan versi setelahnya menggunakan Scoped Storage, sistem yang membatasi akses aplikasi terhadap file di luar direktori yang menjadi kewenangannya. Perubahan arsitektur penyimpanan ini membuat kemampuan ransomware Mantax Otax tidak bekerja dengan cara yang sama pada perangkat Android yang lebih baru.
Artinya, menggunakan Android versi terbaru bukan berarti perangkat otomatis aman dari malware. Perlindungan tersebut hanya membatasi salah satu kemampuan Mantax Otax, sementara fungsi pencurian data dan pengawasan perangkat dapat tetap menjadi ancaman.
Korban juga diteror agar membayar
Ada sisi lain yang membuat Mantax Otax berbeda dari banyak malware pencuri data biasa. Malware ini tidak hanya berusaha mengambil informasi, tetapi juga dirancang untuk menciptakan tekanan psikologis.
Pelaku dapat menampilkan jendela dialog berulang, memunculkan video secara tiba-tiba, dan menggunakan gambar jumpscare yang muncul sangat cepat. Dalam salah satu mekanismenya, gambar tersebut dapat dimunculkan sekitar setiap 600 milidetik.
Layar perangkat juga bisa ditutupi menggunakan overlay sehingga aktivitas normal ponsel terganggu. Ancaman kemudian dapat dibacakan melalui teknologi text-to-speech dan dikendalikan dari jarak jauh.
Strategi tersebut memperkuat pola pemerasan yang dikenal sebagai double extortion. Korban tidak hanya menghadapi ancaman kehilangan akses terhadap file, tetapi juga tekanan agar membayar setelah data pribadi berpotensi berada di tangan pelaku.
Pada Mantax Otax V2, terdapat perubahan pada metode komunikasi dengan server pengendali. Varian ini menggunakan WebSocket, menggantikan HTTPS yang digunakan pada pola komunikasi sebelumnya.
Perubahan tersebut berpotensi membuat lalu lintas komunikasi malware lebih sulit dikenali oleh sebagian sistem keamanan yang mengandalkan pola lalu lintas tertentu.
Gabungan fungsi spyware, ransomware, pencurian kredensial, pengawasan layar, serta teror psikologis menjadikan Mantax Otax sebagai ancaman yang tidak sederhana.
Satu aplikasi berbahaya dapat menjalankan beberapa jenis serangan sekaligus, tergantung akses yang berhasil diperolehnya dari perangkat korban.
Cara mengurangi risiko
Temuan ini sekaligus memperlihatkan mengapa pemasangan APK dari sumber tidak dikenal membawa risiko besar. File APK yang terlihat seperti aplikasi biasa dapat meminta izin yang jauh melampaui fungsi sebenarnya.
Pengguna Android sebaiknya mengutamakan pemasangan aplikasi melalui toko aplikasi resmi dan menghindari file instalasi yang dikirim melalui pesan, tautan mencurigakan, atau situs berbagi file yang tidak jelas asalnya.
Perhatian khusus juga perlu diberikan ketika sebuah aplikasi meminta Accessibility Service atau hak administrator perangkat tanpa alasan yang masuk akal. Izin tersebut memiliki fungsi sah, tetapi dapat menjadi alat yang sangat kuat apabila diberikan kepada aplikasi berbahaya.
Jika sebuah aplikasi tiba-tiba meminta akses luas terhadap SMS, kontak, kamera, lokasi, atau layar, pengguna sebaiknya tidak langsung menyetujuinya.
Memeriksa kebutuhan izin dan sumber aplikasi sebelum instalasi merupakan langkah sederhana, tetapi dapat mengurangi peluang perangkat dikuasai malware.
Kasus Mantax Otax menunjukkan bahwa keamanan ponsel bukan hanya soal memperbarui sistem operasi. Kebiasaan pengguna saat menginstal aplikasi tetap menjadi salah satu titik pertahanan terpenting. Ketika satu APK berhasil memperoleh akses