Ny Android-virus låser dine filer og chikanerer dig

Sikkerhedsfirmaet Zimperium offentliggjorde den 10. september 2026 en analyse af en Android-skadelig kode ved navn Mantax Otax, som kombinerer tre ting, der normalt optræder hver for sig: den krypterer filer som ransomware, den overvåger og stjæler data som spyware — og den chikanerer aktivt sit offer med lyd, billeder og pop op-vinduer, mens den gør det.

Sidstnævnte er det usædvanlige. Almindelig mobil-malware forsøger at være usynlig så længe som muligt. Mantax Otax gør det modsatte og bruger telefonens egne funktioner til at lægge psykisk pres på den, der ejer den.

Hvordan den kommer ind på telefonen

Der er ingen mystik her, og det er faktisk den vigtigste oplysning i hele sagen: Mantax Otax spredes gennem APK-filer, der installeres uden om Google Play.

Ifølge Zimperiums analyse, gengivet af BleepingComputer, står indonesiske operatører bag, og distributionen sker via phishing og beskeder på sociale medier og chattjenester. Modellen er den velkendte: et link, en fil der skal installeres manuelt, og en forklaring på hvorfor det er nødvendigt — en app der ikke er i Play Butik, en "opdatering", en faktura, en video du skal se.

Efter installationen beder appen om adgang til Tilgængelighedstjenesten (Accessibility). Det er dét trin, der afgør alt. Tilgængelighed er en funktion, der er bygget til at hjælpe brugere med handicap, og den giver derfor en app lov til at læse skærmindholdet og betjene telefonen på brugerens vegne. Får en skadelig app den tilladelse, har den i praksis fuld kontrol.

Derefter henter malwaren adressen på sin kommandoserver fra GitHub — en teknik, der gør det sværere at blokere den, fordi trafikken går til et helt legitimt domæne — og sender oplysninger om enheden tilbage: lokation, teleselskab, Android-version og enheds-id. Den efterfølgende kommunikation kører over Firebase eller WebSockets.

Det er den samme grundopskrift, vi har set flere gange i år. Den ligner til forveksling fremgangsmåden i Manic, der stjal bankdata helt uden internetforbindelse, og i WindRelay, der videresendte betalingskort via NFC. Fællesnævneren er hver gang en sideloadet APK plus en tilladelse, brugeren selv giver.

Hvad den stjæler

Listen er lang, og den er værd at læse hele vejen igennem, fordi den forklarer, hvorfor en infektion ikke bare er irriterende:

• Kode til låseskærmen — så angriberen kan låse telefonen op igen senere
• SMS-beskeder og engangskoder (OTP) — altså det andet led i totrinsbekræftelse
• Opkaldslister, kontakter, browserhistorik, liste over installerede apps og Google-kontooplysninger
• Lokation
• WhatsApp-profiler og -beskeder samt Telegram-samtaler
• Skærmbilleder og MP4-videooptagelser via Androids MediaProjection-funktion, herunder streaming af skærmen i næsten realtid via fildelingstjenesten Catbox
• Billeder taget med kameraet

Kombinationen af stjålne SMS-koder og låseskærmskode er den farlige. Den betyder, at en angriber ikke behøver at bryde din bank — han kan sidde med både dit kodeord, din engangskode og et live-billede af din skærm samtidig.

Krypteringen rammer især gamle telefoner

Her er der en vigtig nuance, som ofte forsvinder i overskrifterne. Filkrypteringen virker primært på enheder med Android 9 eller ældre.

Fra Android 10 indførte Google Scoped Storage, som begrænser, hvilke filer en app overhovedet kan nå. Det betyder, at Mantax Otax på en nyere telefon i praksis kun kan kryptere indhold i sit eget eksterne mappeområde — ikke hele dit billedarkiv.

Hvor krypteringen virker, gennemsøger malwaren det delte lager, krypterer udvalgte filtyper med en AES-nøgle, der er unik for det enkelte offer og hentes fra kommandoserveren, sletter originalerne og sætter endelsen .enc på de krypterede filer. Brugerens billeder erstattes med en løsesumsbesked, og der åbnes en chatfunktion hostet på Firebase, hvor offeret kan skrive med afpresserne.

Kører du en Android-telefon fra 2018 eller tidligere, som ikke længere får opdateringer, er du altså i den værst tænkelige kategori — ikke kun her, men generelt.

Chikanen: jumpscares, tale og pop op-vinduer

Den opgraderede udgave af Mantax Otax har en decideret chikanefunktion, som operatørerne kan udløse på kommando:

• Hurtige, gentagne dialogbokse, der gør telefonen næsten ubrugelig
• Fuldskærmsvideoer, der starter af sig selv
• Jumpscare-billeder, der lægges hen over skærmen uden varsel
• Tekst-til-tale-beskeder, som operatøren skriver og sender, og som afspilles højt gennem telefonens højttaler

Det sidste er det mest ubehagelige. Det er ikke en generisk trussel på en låseskærm — det er en besked, en fremmed formulerer i realtid og får din egen telefon til at sige højt i rummet, du befinder dig i. Formålet er at skabe et vedvarende psykisk pres, så offeret betaler hurtigere.

Det er i øvrigt værd at bemærke, at afpresning med skræk og skam er en genkendelig linje i flere sager i år — samme logik som i FBI's advarsel om hackere, der stjæler intime billeder. Presset er værktøjet; krypteringen er bare anledningen.

Sådan slipper du af med den — og sådan undgår du den

Hvis telefonen allerede er inficeret:

1. Sæt telefonen i flytilstand. Det afbryder forbindelsen til kommandoserveren og stopper både fjernstyringen og chikanen med det samme.
2. Start i fejlsikret tilstand (hold typisk knappen "Sluk" nede på strømmenuen, til "Fejlsikret tilstand" tilbydes). I fejlsikret tilstand kører tredjeparts-apps ikke, så overlejringerne forsvinder, og du kan nå indstillingerne.
3. Fjern tilladelsen først. Gå i Indstillinger → Tilgængelighed, find den ukendte tjeneste og slå den fra. Så længe den er aktiv, kan appen forhindre dig i at afinstallere den. Tjek også Indstillinger → Sikkerhed → Enhedsadministratorapps.
4. Afinstallér appen og kør en fuld scanning med Play Protect.
5. Skift adgangskoder fra en anden enhed — ikke fra telefonen. Start med Google-kontoen, netbank, MitID og de konti, der bruger SMS-koder.
6. Ring til din bank, hvis du har bankapps på telefonen. Antag, at SMS-koder er blevet læst.
7. Overvej fabriksnulstilling. Det er den eneste rigtige garanti. Gendan ikke en sikkerhedskopi taget efter infektionen.

Har du krypterede filer med .enc, findes der ikke noget offentligt gendannelsesværktøj. Nøglen er individuel og ligger hos angriberen. Betal ikke — der er ingen garanti, og du finansierer næste offer.

For at undgå det fra start er rådene enkle og virker: installér ikke APK-filer fra links i beskeder, uanset hvor troværdig afsenderen lyder. Giv aldrig Tilgængelighed til en app, der ikke er et decideret hjælpemiddel. Hold Google Play Protect slået til — Zimperium oplyser, at opdaterede Android-enheder med aktiv Play Protect registrerer og blokerer Mantax Otax, blandt andet gennem samarbejdet i App Defense Alliance.

Konklusion

Mantax Otax er ikke et gennembrud teknisk set. Den bruger de samme tre greb, mobil-malware har brugt i årevis: en fil uden om Play Butik, en tilladelse brugeren selv giver, og en kommandoserver gemt bag et legitimt domæne. Det nye er tonen — at afpresningen er flyttet fra en tekst på skærmen til en stemme i rummet.

Det, man bør tage med, er hvor tidligt kæden kan brydes. Hele angrebet står og falder med ét klik på "Installér alligevel" og ét tryk på "Tillad" i tilgængelighedsmenuen. Kommer man forbi de to, er resten af listen ligegyldig.

Kilder: BleepingComputer, 10. september 2026, med udgangspunkt i analyse fra Zimperium.