Mantax OTAX : le ransomware Android qui espionne et rançonne

Une menace inédite qui combine trois registres d'attaque

Les équipes zLabs de Zimperium ont publié le 12 septembre 2026 l'analyse détaillée de Mantax OTAX, une souche Android particulièrement agressive qui rompt avec les codes habituels du ransomware mobile. Là où les malwares traditionnels se contentent de chiffrer les données contre rançon, Mantax OTAX déploie simultanément trois mécaniques d'attaque distinctes : le vol de données et de credentials, la surveillance continue de la victime, et une campagne de harcèlement psychologique destinée à accélérer le paiement. Cette combinaison inédite en fait l'une des menaces Android les plus sophistiquées documentées à ce jour.

Selon l'analyse de Zimperium, les acteurs à l'origine de Mantax OTAX opèrent depuis l'Indonésie. Ils distribuent leurs APK malveillants en dehors du Google Play Store, principalement via des campagnes de phishing ciblées sur les applications de messagerie (WhatsApp, Telegram, SMS) et des pages de téléchargement factices imitant des applications légitimes. La victime est incitée à activer les permissions d'accessibilité et d'administration de l'appareil, ce qui octroie au malware un contrôle quasi-total sur le système Android.

Une fois installé et actif, Mantax OTAX commence par dresser un profil complet de la victime. Il collecte les données de localisation GPS, l'opérateur téléphonique, la version d'Android, l'identifiant unique de l'appareil (Device ID), la liste des applications installées, les journaux d'appels et les contacts. Ces informations sont transmises à un serveur de commande et contrôle (C2) dont l'adresse est récupérée dynamiquement depuis un dépôt GitHub — une technique qui complique le blocage de l'infrastructure par les équipes de sécurité.

Le vol de credentials constitue l'un des aspects les plus dangereux de cette menace. Mantax OTAX intercepte les SMS entrants pour capturer les mots de passe à usage unique (OTP) envoyés par les banques et les services en ligne dans le cadre de l'authentification à deux facteurs (2FA). Il capture également les PINs de déverrouillage de l'écran, l'historique de navigation, les identifiants Google associés à l'appareil et surveille activement les conversations WhatsApp et Telegram. Cette collecte massive d'informations d'authentification permet aux opérateurs de prendre le contrôle de comptes bancaires, de portefeuilles de cryptomonnaies et de services cloud bien au-delà de la simple extorsion locale.

La dimension de surveillance physique distingue encore davantage Mantax OTAX des ransomwares mobiles classiques. Le malware exploite l'API MediaProjection d'Android pour enregistrer le contenu de l'écran en temps réel, ce qui permet aux attaquants de capturer des mots de passe saisis manuellement, des codes de récupération ou toute information affichée sur l'écran. Par ailleurs, il prend des photos via les caméras frontale et arrière à intervalles réguliers, permettant potentiellement l'identification physique de la victime ou la collecte de preuves d'environnement utilisées pour des tentatives de chantage supplémentaires.

La phase de chiffrement intervient une fois la collecte de données suffisamment avancée. Les fichiers personnels stockés sur l'appareil sont chiffrés et une demande de rançon s'affiche en plein écran. Mais Mantax OTAX ne s'arrête pas là : il déclenche une séquence de harcèlement intensif pour briser psychologiquement la victime et la pousser à payer rapidement. Des boîtes de dialogue s'affichent en rafale, des vidéos non sollicitées sont lancées en plein écran, et des images d'épouvante (jump-scare) apparaissent de manière imprévisible. L'objectif est de rendre l'appareil pratiquement inutilisable et de provoquer une pression émotionnelle maximale.

L'infrastructure de commandement et contrôle repose sur une architecture flexible. Le fait que le domaine C2 soit récupéré depuis GitHub téléchargé à la demande permet aux opérateurs de changer d'infrastructure sans mettre à jour le malware déjà déployé sur les appareils des victimes. Les chercheurs de Zimperium ont identifié plusieurs domaines C2 actifs, mais leur roulement régulier complique les opérations de blocage réseau. La télémétrie remontée vers les serveurs comprend notamment les coordonnées GPS de la victime, ce qui soulève des inquiétudes quant à d'éventuelles menaces physiques envers des cibles à haute valeur.

À ce stade, aucun mécanisme de déchiffrement gratuit n'a été publié par les chercheurs en sécurité. Zimperium recommande aux victimes de ne pas payer la rançon, de déconnecter immédiatement l'appareil de tout réseau Wi-Fi ou mobile, de ne pas tenter de désinstaller manuellement le malware sans guidance, et de contacter leur banque en priorité pour signaler le risque de compromission des codes d'authentification. Un reset d'usine complet est généralement la seule solution fiable pour nettoyer un appareil infecté par Mantax OTAX.

Pourquoi Mantax OTAX redéfinit la menace ransomware sur mobile

La convergence du ransomware et du spyware dans une seule souche mobile marque une évolution significative dans le paysage des menaces. Jusqu'ici, ces deux catégories de logiciels malveillants évoluaient dans des écosystèmes relativement distincts : les opérateurs de ransomware visaient la rapidité et le volume, les opérateurs de spyware cherchaient la discrétion et la persistance. Mantax OTAX abandonne la discrétion au profit d'une double pression simultanée — extorsion financière immédiate et menace de divulgation des données volées — ce qui correspond à l'évolution de la double extorsion observée dans le monde du ransomware PC depuis 2020.

Le vecteur de distribution par sideloading reste l'un des défis majeurs de la sécurité Android. Contrairement à l'écosystème iOS, Android permet par défaut l'installation d'applications hors du Play Store, ce qui est une fonctionnalité appréciée des développeurs mais exploitée massivement par les acteurs malveillants. Les campagnes de phishing ciblant les utilisateurs Android se sont professionnalisées en 2025-2026, avec des pages de téléchargement de plus en plus crédibles imitant des portails bancaires, des applications de livraison ou des utilitaires système. Mantax OTAX s'inscrit dans cette tendance en utilisant des leurres adaptés au contexte local de ses cibles.

L'implication d'acteurs indonésiens dans cette campagne est cohérente avec l'émergence de groupes cybercriminels dans la région Asie-Pacifique, qui combinent des compétences techniques croissantes avec un accès facilité à des marchés de cybercriminalité-as-a-service. La spécialisation dans le mobile, plutôt que dans les systèmes Windows ou Linux, reflète une compréhension de la réalité économique des pays ciblés, où le smartphone est souvent le principal dispositif d'accès aux services bancaires et financiers. Cette réalité rend les victimes particulièrement vulnérables à la compromission de leurs codes bancaires OTP.

Pour les entreprises, la menace est double. D'une part, les appareils personnels des employés utilisés en mode BYOD (Bring Your Own Device) représentent un vecteur potentiel d'intrusion dans les systèmes d'entreprise si des applications professionnelles — messagerie d'entreprise, VPN, accès cloud — sont installées sur un appareil compromis. D'autre part, les solutions de gestion des appareils mobiles (MDM) ne couvrent généralement pas les applications installées hors périmètre géré. Il est recommandé aux équipes sécurité de renforcer les politiques BYOD, de déployer des solutions de Mobile Threat Defense (MTD) et de former les utilisateurs à ne jamais installer d'APK en dehors des stores officiels.

Ce qu'il faut retenir

• Mantax OTAX combine ransomware, spyware et harcèlement en une seule souche Android, une combinaison inédite dans les menaces mobiles documentées.
• Le vol d'OTP bancaires et de codes 2FA permet aux attaquants de compromettre les comptes financiers de la victime indépendamment du paiement de la rançon.
• La réponse immédiate recommandée est la déconnexion réseau, l'alerte bancaire urgente et un reset d'usine de l'appareil — ne pas payer la rançon.