Nový virus v mobilech ukradne PIN a ještě tajně pořídí vaše fotky

Paradox, který zná každý bezpečnostní expert

Nejlepší zámek na světě nepomůže, pokud majitel sám otevře dveře. U mobilních hrozeb to platí dvojnásob. Žádná prolomená hradba, žádná chyba v systému, jen jediné povolení, které uživatel odklepne s pocitem, že dělá něco rozumného.

Bezpečnostní tým zLabs společnosti Zimperium zveřejnil 9. září 2026 analýzu nového hybridního škodlivého kódu. Kombinuje špionážní software, vyděračský nástroj, trojského koně pro vzdálenou správu i phishing. Podle stop v kódu, včetně indonéských výzev, míří především na uživatele v Indonésii.

K nákaze přitom nedochází přes oficiální obchod Google Play. Šíří se ručně instalovanými soubory s příponou .apk z neoficiálních zdrojů, přes klamavé odkazy a úložiště třetích stran. Útočníci sázejí na lidskou zvědavost a spěch.

Jak může nákaza proběhnout

Typický scénář vypadá nevinně. V chatovací aplikaci přijde zpráva s odkazem na „nutnou aktualizaci přehrávače“ nebo „ověření pro banku“. Uživatel klikne, v nastavení povolí instalaci z neznámých zdrojů a soubor spustí.

Aplikace pak začne žádat o práva správce zařízení a hlavně o přístup ke Službám přístupnosti. Jakmile je uživatel potvrdí, nad telefonem prakticky ztrácí kontrolu. Škodlivý kód si z platformy GitHub dynamicky stáhne adresu řídicího serveru a zaregistruje unikátní ID zařízení.

Následuje odchytávání SMS s ověřovacími kódy a sledování komunikace ve WhatsAppu či Telegramu. Zobrazí se klamavá uzamykací obrazovka. Po zadání PINu ho kód uloží a tajně aktivuje přední kameru, aby pořídil snímek obličeje oběti.

Jeho jméno je Mantax Otax

Hrozba, o které je řeč, nese označení Mantax Otax. Přes Služby přístupnosti čte obsah obrazovky, simuluje kliknutí a podvrhuje systémová okna. Pomocí rozhraní MediaProjection API nahrává obrazovku do formátu MP4 a pořizuje snímky.

Bez vědomí majitele také fotí předním i zadním fotoaparátem. Sbírá historii prohlížeče, polohu, kontakty, protokoly hovorů i seznam nainstalovaných aplikací. Komunikační infrastruktura je promyšlená: první verze využívala k vestavěnému chatu službu Firebase, novější přešla na protokol WebSockets.

„Lidé si pořád nedají říct a klikají na neznámé odkazy v SMS zprávách. Dokud budou bezmyšlenkovitě povolovat aplikacím přístup k Accessibility a správci zařízení, takové malwary budou mít pré,“ píše jeden z diskutujících v technologických diskusích.

Vyděračská složka a limity, na které narazí

Mantax Otax umí i zašifrovat data. Na zařízeních s Androidem 9 a starším prohledá úložiště a soubory zašifruje šifrou AES. Dostanou příponu .enc a jsou vázány na klíč z řídicího serveru. Útočníci pak změní tapetu a otevřou chat pro vyžadování výkupného.

U novějších telefonů ale malware naráží na překážku. Od Androidu 10 funguje ochrana Scoped Storage, která mu brání masově šifrovat fotografie a dokumenty na sdíleném úložišti. Zašifruje jen soubory ve vlastním izolovaném adresáři.

Analytici hodnotí situaci jasně: Mantax Otax je nebezpečná taktická evoluce, protože v jediném balíčku spojuje špionážní nástroje s ransomwarem. Ochrana Scoped Storage však dopad šifrovací části účinně tlumí. Největším rizikem zůstává zneužití Služeb přístupnosti ke krádežím PINů a jednorázových kódů.

Jak se chránit

Hlavní obrana je v rukou uživatele. Nepovolujte instalaci aplikací z neznámých zdrojů a neudělujte Služby přístupnosti nástrojům, které neznáte. Je to nejspolehlivější způsob, jak se tomuto hybridnímu kódu vyhnout.