ランサムウェアとスパイウェアを一体化したAndroidマルウェア「Mantax Otax」 — 画面監視と嫌がらせ機能で二重恐喝

要点

• モバイルセキュリティ企業のZimperiumは2026年9月9日、ランサムウェア機能とスパイウェア機能を単一のマルウェアに統合したAndroidマルウェア「Mantax Otax」を報告した。同社のzLabs研究チームが発見し、インドネシアの脅威アクターと関連づけている。
• 感染経路は、Google Playではなく第三者のファイル共有サービスに置かれた不正APKを、メッセージやフィッシングで利用者に直接インストールさせる手口だ。インストール後、マルウェアは端末管理者権限やSMS・連絡先・音声・画像へのアクセス許可、最後にアクセシビリティ権限を求め、攻撃者が端末を広範囲に操作できる状態を作る。
• 攻撃の狙いは二重の恐喝だ。古いAndroidではファイルを暗号化して身代金を要求し、あわせて画面録画や連絡先・SMSの窃取などの監視機能で被害者のプライバシーを握る。Firebase上に表示する画面内チャットで直接の身代金交渉を迫る。

感染の仕組みと指令基盤

マルウェアはGitHubリポジトリから指令（C2）サーバのドメインを取得する仕組みを持つ。Zimperiumが確認したドメインは apimantax[.]otax[.]fun で、防御側に遮断されてもコードを変えずに接続先を切り替えられる。感染端末は登録時に位置情報、通信事業者、Androidバージョンなどの情報を送り、その後はFirebase（初代版）やWebSocket（第2版）経由で命令を受ける。

窃取の対象は広い。通知、連絡先、通話履歴、SMS（ワンタイムパスワードを含む）、ブラウザ履歴、端末内のファイル、写真、Googleアカウント構成に加え、WhatsAppのプロフィールやメッセージ、Telegramの認証情報やチャット履歴も狙う。Android標準のMediaProjection APIを悪用した画面の撮影・録画・リアルタイム配信や、前面・背面カメラでの無断撮影、端末ロック画面のPIN窃取も備える。盗んだ画面画像などは外部ファイル共有サービス「Catbox」に一旦置き、保存先URLを攻撃者に返す。

暗号化の条件と嫌がらせ機能

ファイル暗号化は、Android 9以前の端末で有効に動作する。マルウェアはC2から被害者ごとに異なるAES鍵を受け取り、画像・動画・文書・書庫・データベースなどを再帰的に暗号化する。原本を削除して「.enc」拡張子を付け、端末内の画像を「Your files have been encrypted. Pay to decrypt.（ファイルは暗号化された。復号には支払いが必要だ）」という身代金文に置き換える。

Android 10以降では、OS標準の隔離機能（Scoped Storage）がアプリの到達範囲を制限するため、暗号化できるのはアプリ固有の領域にほぼ限られ、被害の広がりは大幅に抑えられるとZimperiumは説明している。OSを新しく保つことが被害軽減に直結する事実だ。

第2版（v2）では、被害者を追い込む演出が強化された。画面をロックして外部の「管理者」への連絡を促す表示、任意アプリの起動遮断、タッチ操作を無効化する透明オーバーレイ、大量の警告ダイアログの連投、全画面動画の強制再生、0.6秒間隔で画像を点滅表示する「jumpscare」、端末の音声合成で攻撃者指定の文を読み上げる機能などを持つ。Zimperiumは、設定ミスのあったFirebaseサーバから攻撃者と被害者の交渉記録や、感染端末数を表示する攻撃者側パネルの画面も確認した。

日本の利用者への示唆

今回の標的は言語や回収ファイルの痕跡からインドネシアの利用者とみられ、日本を狙った活動は報告されていない。ただし手口自体は日本にも通用する。公式ストア外のAPK配布とフィッシング、権限要求の積み重ねによる端末掌握という流れは、他のAndroidマルウェアにも共通する。身に覚えのないAPKのインストール要求や、SMS・連絡先・アクセシビリティなど過剰な権限を求めるアプリには応じないことが、感染起点を断つ事実上の防御になる。

出典

• Zimperium（zLabs）「Mantax Otax: Indonesian Mobile Ransomware with Spyware Integration」(2026年9月9日)
  • https://zimperium.com/blog/mantax-otax-indonesian-mobile-ransomware-with-spyware-integration