Malware "Buatan Indonesia" Bisa Intip Chat WhatsApp dan Curi OTP - Kompas
KOMPAS.com - Malware Android baru ditemukan bisa mengintip pesan WhatsApp korban secara diam-diam. Namanya Mantax Otax.
Malware ini diduga kuat buatan orang Indonesia, dan spesifik menyasar pengguna di Indonesia. Selain mengancam WhatsApp, Mantax Otax juga bisa mengunci file lewat enkripsi dan meneror korban secara psikologis.
Tim peneliti keamanan siber zLabs dari Zimperium membongkar malware ini. Hasil temuannya dipublikasikan lewat laporan Mantax Otax: Indonesian Mobile Ransomware with Spyware Integration.
Zimperium menemukan dua varian Mantax Otax, yakni V1 dan V2. Keduanya beredar dengan cara yang sama. File APK-nya disebar di luar Google Play Store, lewat layanan berbagi file pihak ketiga.
Korban dijebak lewat phishing dan rekayasa sosial (social engineering) supaya mau memasang APK tersebut. Begitu terpasang, aplikasi ini meminta akses sebagai admin perangkat.
Malware juga meminta izin Accessibility Service, salah satu fitur aksesibilitas bawaan Android. Dua akses ini dipakai buat mengambil alih hampir semua fungsi ponsel korban.
Petunjuk soal asal malware ini datang dari isi programnya sendiri. "Indikator bahasa dan file-file dari korban menunjukkan bahwa pelaku secara spesifik menyasar target di Indonesia," tulis Zimperium dalam laporannya.
Klaim asal-usul ini belum bisa dipastikan sepenuhnya. Zimperium sendiri hanya mendasarkan dugaan itu pada indikator bahasa dan pola file korban, bukan pelacakan langsung ke identitas pelaku.
Server pengendali (command and control/C2) milik Mantax Otax memakai domain berakhiran ".otax.fun". Alamatnya diambil dari repositori GitHub. Dengan cara ini, pelaku bisa mengganti tujuan server kapan saja. Mereka tidak perlu memperbarui aplikasi malware yang sudah terpasang di ponsel korban.
Intip WhatsApp dan curi OTP
Mantax Otax memanfaatkan izin Accessibility Service untuk membaca pesan WhatsApp dan Telegram korban secara langsung. Data login akun Telegram korban turut bisa ikut dicuri.
Kemampuan ini bahkan bisa mencuri kode OTP, kunci pengaman tambahan (multi-factor authentication) yang biasa dipakai buat transaksi perbankan maupun akun layanan online lain.
Data lain yang ikut disasar antara lain PIN layar kunci, pesan SMS, log panggilan, kontak, riwayat penjelajahan di browser, informasi akun Google, dan lokasi pengguna.
Mantax Otax juga bisa mengakses aplikasi kamera dan memotret diam-diam. Kamera depan dan belakang ponsel korban sama-sama disasar. Tidak perlu ada bantuan apa pun dari pengguna.
Layar ponsel korban bisa direkam dalam format video MP4, memakai teknologi bernama MediaProjection. Hasil tangkapan layarnya lalu dikompres dan diunggah ke layanan penyimpanan gambar Catbox.
Kunci file dan minta tebusan
Fungsi ransomware Mantax Otax menyasar storage ponsel. Sasarannya foto, video, dokumen, arsip, database, sampai kunci kriptografi milik korban.
File-file itu dienkripsi pakai algoritma AES. Tiap file lalu diberi akhiran ".enc". Kunci enkripsinya unik untuk tiap korban, diambil dari server C2 berdasarkan Android ID perangkat yang terinfeksi.
Setelah proses ini selesai, Mantax Otax menimpa galeri foto korban dengan gambar permintaan tebusan, lalu menyediakan chat sendiri untuk negosiasi pembayaran. Chat ini berjalan lewat layanan Firebase milik Google.
Kabar baiknya, kemampuan mengunci file ini ada batasnya. Fungsi ransomware cuma efektif di ponsel Android 9 ke bawah. Ponsel Android 10 ke atas sudah memakai sistem penyimpanan bernama Scoped Storage, yang membatasi akses aplikasi ke file di luar folder miliknya sendiri.
Teror lewat jumpscare
Di luar pencurian data, Mantax Otax dirancang buat menekan korban secara psikologis. Caranya lewat window dialog yang muncul berulang kali, video yang tiba-tiba memenuhi layar, sampai gambar jumpscare (mengagetkan) yang muncul sekilas setiap 600 milidetik sekali.
Layar ponsel korban bisa dikunci pakai overlay. Setelah itu, pesan ancaman diputar lewat teknologi text-to-speech. Pesan ini dikendalikan pelaku dari jarak jauh.
Dua gangguan ini dipakai bareng ancaman pembocoran data, untuk menekan korban supaya bayar tebusan. Pola serangan seperti ini dikenal sebagai pemerasan ganda (double extortion).
Pada varian V2, Zimperium mencatat Mantax Otax beralih pakai protokol WebSocket. Malware versi ini tidak lagi memakai HTTPS yang lebih umum dipakai. Perubahan ini membuat lalu lintas datanya lebih sulit dideteksi sistem keamanan biasa.
Sebagaimana dihimpun KompasTekno dari BleepingComputer, gabungan tiga kebisaan dalam satu aplikasi ini terbilang jarang ditemukan di malware Android pada umumnya.
Kombinasi ransomware, spyware, dan alat teror sekaligus inilah yang bikin Mantax Otax dianggap berbahaya.
Agar tidak terdampak, Zimperium menyarankan pengguna Android cuma menginstal aplikasi dari Google Play Store. Aplikasi dari sumber tak dikenal sebaiknya dihindari.
Bayangkan seorang anak Indonesia bercita-cita menjadi dokter tetapi hanya memiliki satu buku lusuh untuk belajar. Bersama Ekspedisi Kata ke Nyata Kompas.com, Anda bisa membantu mengubah kisah itu. Mari hadirkan akses literasi bagi anak-anak di berbagai pelosok Indonesia melalui donasi lewat tautan https://bit.ly/JagatLiterasi2026. Setiap kebaikan yang Anda berikan bukan hanya membuka jendela pengetahuan, tetapi juga membuka masa depan mereka.