Mantax Otax 勒索病毒解密与数据恢复

Mantax Otax 是 2026 年 9 月 9 日由 Zimperium zLabs 公开披露的安卓勒索病毒，把文件加密、锁屏勒索与间谍软件装进同一个 APK：一边加密手机中的照片、文档与压缩包，一边持续窃取短信验证码、通讯录、相册以及 WhatsApp、Telegram 的聊天内容，再用隐私曝光与持续骚扰逼迫付款，属于典型的移动端双重勒索。

公开资料把运营者指向印度尼西亚，样本语言与受害者文件也以印尼语为主，目前没有证据显示其对中国大陆用户发起过定向投放。传播完全绕开应用商店：第三方文件分享站上的独立 APK，经聊天软件链接、钓鱼短信与社工话术诱导用户侧载安装，已知的伪装外壳包括暗示成人内容的印尼语应用名，以及 Grok 等知名应用的仿冒包。

需要如实说明，该家族目前公开信息仍然有限：只有一份厂商原始分析与若干媒体转述，首次出现时间与赎金金额均未公开，感染规模也没有权威统计——研究人员从泄露的攻击者后台看到的受控设备清单只是某一时点的快照，数量在数百台量级，不能据此推断真实总量；截至本页更新，尚未检索到国内厂商发布的对应报告。已知存在第一、第二两个版本，第二版改用 WebSocket 通信并新增大量胁迫手段，说明其仍处在快速迭代阶段。

后缀：被加密文件在原名后追加 .enc，例如 photo.jpg 变为 photo.jpg.enc，原文件随即被删除。.enc 是被多个家族复用的通用后缀，不能仅凭后缀下结论。

勒索提示与锁屏：不落地传统的 txt / html 勒索信，而是直接覆写相册中的图片作为提示，内容大意为「文件已被加密，付款方可解密」；同时弹出全屏聊天窗口，标题伪装成系统安全提示 SYSTEM PROTECTED，攻击者以固定昵称 Mantax Bro!! 在其中直接谈判。锁屏页面伪装成系统进程，或打出 Manta X2 Elite Security 这类「安全产品」名义，诱导受害者输入锁屏 PIN 并借此维持控制。

行为特征：安装后集中索要设备管理员与无障碍（Accessibility）权限；随后出现无法退出的全屏遮罩、触控失灵、指定应用被屏蔽、反复弹窗、突然播放的全屏视频与「惊吓图」，以及朗读威胁内容的语音播报。多家安全厂商将其检出为间谍软件类名称（如 Android/Spy.Agent.GGC、HEUR:Backdoor.AndroidOS.Agent 系列）。

Mantax Otax 的投放链条短而直接，全程依赖用户手动安装：

• 第三方文件分享站上的独立 APK：主要落地渠道，完全绕开官方应用商店的审核；
• 聊天软件链接与钓鱼短信：配合社工话术诱导用户开启「未知来源安装」；
• 伪装外壳：已公开的样本使用暗示成人内容的印尼语应用名，以及 Grok 等知名应用的仿冒包，用好奇心换取用户对长串权限申请的放行；
• 权限诱导：安装后集中索要设备管理员、无障碍、短信、通讯录、录音、相册与屏幕录制权限，其中无障碍权限是后续全部控制能力的基础。

需要补充的一点是，公开报道称已知样本可被保持更新的 Google Play Protect 检出并拦截，但侧载场景下用户往往主动忽略或关闭了这层提示，因此不能把它当作充分防线。

对企业而言真正的风险点在 BYOD：员工个人手机一旦中招，企业邮箱、OA、VPN 的二次验证短信与办公聊天记录都会直接暴露在攻击者视野中，手机侧的感染可能演变成企业侧的账号接管。

算法与密钥：使用 AES 加密文件内容。密钥不是本地生成，而是以设备 Android ID 为标识向 C2 逐机申请，一机一密；设备上不保留密钥材料，因此不存在离线还原的空间。

加密范围：递归遍历共享外部存储，覆盖文档、图片、视频、压缩包、数据库与密钥类文件，刻意跳过 Android/data 与 Android/obb 目录以免把系统搞崩；完成后删除原文件并追加 .enc。

平台限制（关键）：Android 10 起的分区存储（Scoped Storage）严格限制了应用对外部存储的访问，大范围加密实际主要发生在 Android 9 及更早的设备上；但间谍与锁屏功能在新版本系统上依旧有效，即使文件没被加密，隐私泄露的风险一分不减。

版本差异：第一版使用 HTTPS 通信；第二版改用 WebSocket，并新增应用屏蔽、透明遮罩拦截触控、弹窗轰炸、全屏视频与约 600 毫秒间隔的惊吓图、远程文字转语音威胁等施压能力。

C2 与外传：真实 C2 域名通过 GitHub 仓库动态下发，便于随时换域名而无需重新打包；截图与录屏经公开文件寄存服务中转回传。研究人员还发现其 Firebase 后端配置不当，泄露了勒索谈判对话与受控设备清单。