KEPULAUAN BANGKA BELITUNG — Distribusinya lewat APK berbahaya yang dihosting di luar Google Play Store. Operator menyasar pengguna melalui pesan phishing dan rekayasa sosial untuk memancing instalasi.
Bagaimana Mantax Otax Menginfeksi Perangkat
Setelah diinstal, malware meminta izin layanan Aksesibilitas. Izin ini memberi kontrol luas atas perangkat yang terinfeksi.
Dari situ, Mantax Otax mengambil domain infrastruktur command and control (C2) dari GitHub. Malware lalu mengirimkan informasi korban seperti lokasi, operator seluler, versi Android, dan ID perangkat ke server operator.
Ransomware Hanya Jalan di Android 9 ke Bawah
Modul ransomware Mantax Otax mengenkripsi perangkat yang menjalankan Android versi lawas. Menurut laporan Zimperium, modul ini hanya bisa berjalan di Android 9 atau lebih lama.
Penyebabnya, fitur keamanan dan privasi Scoped Storage di Android 10 dan lebih baru membatasi kemampuan enkripsi ke direktori file eksternal. Malware mencari penyimpanan bersama, mengenkripsi file yang ditargetkan dengan kunci AES khusus korban dari server C2, lalu menghapus file asli dan menambahkan ekstensi '.enc' pada salinan terenkripsi.
Data Apa Saja yang Dicuri
Selain mengunci file, Mantax Otax membawa fitur spyware dan kontrol jarak jauh. Peneliti menemukan malware ini dapat mencuri PIN screen lock, membaca SMS dan OTP, serta mengakses log panggilan, kontak, riwayat browsing, informasi akun Google, dan lokasi.
Yang paling berisiko bagi pengguna Indonesia: malware ini bisa mencuri profil dan pesan WhatsApp, juga chat Telegram. Caranya lewat interaksi simulasi melalui layanan Aksesibilitas, seperti dikutip dari Bleeping Computer, Sabtu (12/9/2026).
Mantax Otax juga dapat mengambil foto lewat kamera perangkat yang terinfeksi dan mengirimkannya ke operator. Versi keduanya menambah fungsi pengganggu, berupa video layar penuh dan gambar jumpscare.
Sudah Diblokir Play Protect
Zimperium merupakan mitra keamanan Google. Karena itu, Mantax Otax sudah terdeteksi dan diblokir di perangkat Android dengan Play Protect aktif dan update keamanan terbaru.
Pengguna Android diimbau tidak menginstal APK dari sumber tidak resmi. Hindari memberikan izin Aksesibilitas ke aplikasi mencurigakan dan hanya percaya publisher terpercaya.
Konteks Ancaman di Indonesia
Serangan lewat APK di luar toko resmi bukan hal baru di pasar Indonesia. Banyak pengguna masih menginstal aplikasi dari tautan WhatsApp atau situs pihak ketiga, terutama untuk aplikasi modifikasi dan layanan yang tidak tersedia resmi.
Pola ini yang dimanfaatkan operator Mantax Otax. Izin Aksesibilitas yang seharusnya dipakai untuk membantu pengguna disabilitas justru disalahgunakan untuk membaca layar dan mencuri kredensial.
Bagi pelaku bisnis digital, insiden ini menegaskan pentingnya edukasi keamanan ke pengguna akhir. Sebab, kebocoran OTP dan akses akun Google bisa berujung pada penipuan finansial dan pengambilalihan akun.
