O ransomware de Android que trava o celular e transmite a tela da vítima ao vivo

A equipe de pesquisa zLabs, da Zimperium, publicou a análise de um malware de Android que chama atenção pela acumulação de funções. Chamado de Mantax Otax, ele não escolhe entre roubar, espionar ou sequestrar: faz tudo de uma vez, no mesmo aparelho.

O que ele faz depois de instalado

• Criptografa os arquivos (em aparelhos com Android 9 ou anterior), apaga os originais e substitui as imagens do celular por avisos de resgate.
• Grava e transmite a tela em tempo quase real, usando um recurso legítimo do próprio Android, e envia os vídeos para os criminosos por um serviço público de compartilhamento de arquivos.
• Tira fotos pelas câmeras sem qualquer aviso ao dono.
• Rouba o PIN da tela de bloqueio, intercepta mensagens de texto e captura os códigos de verificação que os bancos e sistemas enviam.
• Coleta contatos, histórico de chamadas, navegação, fotos e as conversas de WhatsApp e Telegram.
• E abre uma tela de chat dentro do próprio celular, para o criminoso conversar diretamente com a vítima e cobrar o resgate.

A combinação é o que torna esse caso diferente: a vítima é chantageada não só com os arquivos trancados, mas com o que foi filmado e fotografado enquanto usava o aparelho. Os pesquisadores associaram a campanha a criminosos da Indonésia, e as amostras circulavam como arquivos de instalação avulsos em serviços de compartilhamento, com o link chegando por mensagem.

Por onde ele entra (e é sempre o mesmo lugar)

Nenhuma dessas funções existe sem um passo anterior: alguém precisa instalar um aplicativo de fora da loja oficial. O nome técnico é sideload — baixar um arquivo de instalação (APK) de um site, de um link recebido no WhatsApp ou de um grupo, em vez de pegar na Play Store.

É por isso que a defesa, embora simples, é eficaz:

• Não instale aplicativo por link. Nem de promoção, nem de “versão liberada”, nem do aplicativo que “sumiu da loja”.
• Mantenha bloqueada a instalação de fontes desconhecidas. No Android, é uma permissão por aplicativo, e o padrão é desligado. Se alguém pediu para você ligar, esse é o pedido do golpe.
• Desconfie de pedidos de acessibilidade. Esse é o recurso que o malware usa para ver e controlar a tela. Aplicativo comum não precisa dele.
• Aparelho velho é alvo preferido. A parte de criptografar arquivos só funciona em versões antigas do Android. Celular sem atualização há anos, usado para trabalho, é risco concreto.

O que isso significa para a empresa

Se a sua empresa usa aplicativo de mensagens para assuntos de trabalho — e praticamente todas usam —, o celular do funcionário guarda conversa, foto de documento, comprovante e, muitas vezes, o segundo fator de autenticação dos sistemas corporativos. Um aparelho com esse malware entrega os três de uma vez: o conteúdo, a imagem da tela e o código de verificação que protege as contas.

Duas medidas simples cobrem a maior parte disso: orientar a equipe a nunca instalar aplicativo fora da loja oficial e manter os aparelhos que acessam dados da empresa com Android atualizado. Onde houver aparelho corporativo, vale bloquear a instalação de fontes desconhecidas por política de gerenciamento.

O aviso mais útil aqui cabe em uma frase: o golpe não começa quando o vírus roda, começa quando alguém convence você a instalar.

Fontes

• Zimperium zLabs — análise técnica do malware Mantax Otax (09/09/2026): zimperium.com/blog
• Google — Central de Ajuda do Android, instalação de apps de fontes desconhecidas: support.google.com/android
• Foto de capa: pessoa consultando o celular na rua — W.carter, CC BY-SA 4.0, via Wikimedia Commons
• Segunda imagem: símbolo do Android — Google, CC BY 3.0, via Wikimedia Commons