Die Ransomware-Komponente von Mantax Otax durchsucht den gemeinsamen Speicher und verschlüsselt gezielt bestimmte Dateitypen mit einem opferspezifischen AES-Schlüssel, den sie vom C2-Server bezieht. Die Originaldateien werden gelöscht, die verschlüsselten Kopien erhalten die Endung „.enc". Anschließend ersetzt die Schadsoftware lokal gespeicherte Bilder durch Erpresserbotschaften und öffnet einen bildschirmfüllenden, über Firebase gehosteten Chat, über den die Lösegeldverhandlung ablaufen soll.
Genau dort unterlief den Angreifern ein Fehler: Die Forscher von Zimperium konnten eine Fehlkonfiguration des Firebase-C2-Servers ausnutzen, wodurch die Chats der Täter mit ihren Opfern einsehbar wurden.
Wirksam ist die Verschlüsselung allerdings nur auf Geräten mit Android 9 oder älter. Seit Android 10 schränkt „Scoped Storage" den Dateizugriff so stark ein, dass die Verschlüsselung im Wesentlichen auf das Verzeichnis für externe Dateien der App beschränkt bleibt.
Deutlich breiter angelegt ist der Spionageteil. Laut den Forschern kann Mantax Otax die PIN des Sperrbildschirms abgreifen und sich so dauerhaften Zugang sichern. Ausgelesen werden zudem SMS und Einmalpasswörter, Anrufprotokolle, Kontakte, der Browserverlauf, installierte Apps, Informationen zum Google-Konto sowie der Standort. Über simulierte Eingaben mittels der Bedienungshilfen zieht die Malware außerdem WhatsApp-Profile und -Nachrichten sowie Telegram-Chats ab.
Zur Überwachung in Echtzeit missbraucht die Schadsoftware die MediaProjection-API von Android: Sie erstellt Screenshots, zeichnet MP4-Videos auf und überträgt den Bildschirm des Opfers nahezu in Echtzeit über den Filehoster Catbox. Auch Aufnahmen mit den Kameras des infizierten Geräts sind möglich; die Bilder werden an die Betreiber hochgeladen.
Mit Version 2 kamen Funktionen hinzu, die ausschließlich der Einschüchterung dienen: wiederholt aufpoppende Dialogfenster, bildschirmfüllende Videos, blitzartig eingeblendete Schreckbilder („Jumpscares") sowie ferngesteuerte Sprachausgabe, die über die Lautsprecher des Geräts abgespielt wird. Diese Schikane wirkt als Druckmittel, damit die Betroffenen das Lösegeld zahlen.
Da Zimperium über die App Defense Alliance als Sicherheitspartner von Google auftritt, erkennen und blockieren aktuelle Android-Geräte mit aktivem Play Protect die Schadsoftware bereits. Den Nutzern raten die Forscher, keine APK-Dateien von außerhalb von Google Play zu installieren, fragwürdigen Apps keine Berechtigungen für die Bedienungshilfen zu erteilen und sich auf seriöse Anbieter zu beschränken.