Il malware Android Manic sta attirando molta attenzione nel mondo della sicurezza mobile perché unisce caratteristiche tipiche del banking malware e dello spyware, con un approccio innovativo all’esfiltrazione dei dati. La minaccia prende di mira un ampio insieme di applicazioni sensibili, in particolare servizi bancari e finanziari, ma anche strumenti di identità digitale, app di messaggistica e canali di comunicazione orientati ad ambiti governativi e militari.
Questo profilo ibrido rende Manic pericoloso sia per il furto di credenziali e codici temporanei sia per la sorveglianza continua del dispositivo.
Le analisi indicano che Manic controlla 169 identificativi di pacchetti associati a banche, pagamenti P2P, servizi buy now pay later, wallet ed exchange di criptovalute, browser, client email e app di autenticazione. La lista include molte app utilizzate in Ucraina, ma compaiono anche applicazioni diffuse in Russia e in vari paesi europei, compreso il Regno Unito. La distribuzione avviene tramite siti di phishing e applicazioni dropper camuffate da utility, una tecnica comune nelle campagne di infezione su Android.
Per ottenere il controllo, Manic sfrutta in modo aggressivo i servizi di accessibilità e i permessi di notifica. In questo modo può registrare interazioni e testi come un keylogger a livello di interfaccia, mostrare overlay ingannevoli, catturare segreti della lock screen e nascondere attività malevole con schermate nere o finti aggiornamenti. Tra le funzioni più rilevanti ci sono l’esportazione di contatti, cronologia chiamate, SMS e notifiche, la raccolta di file, screenshot, coordinate GPS con timestamp e la possibilità di avviare sessioni di controllo remoto tramite WebRTC.
Un dettaglio tecnico particolarmente insidioso riguarda il furto del PIN senza mostrare una falsa interfaccia bancaria. Manic può sovrapporre un overlay trasparente al tastierino numerico legittimo, registrare le posizioni dei tocchi e poi replicarli sul tastierino reale usando le API di accessibilità, lasciando l’app funzionare normalmente mentre l’attaccante ottiene il codice.
La caratteristica più innovativa è il meccanismo store and forward per l’esfiltrazione anche quando il telefono infetto è offline. I dati vengono messi in coda in forma cifrata e poi inoltrati a un altro dispositivo Android compromesso nelle vicinanze tramite Wi‑Fi Direct, Bluetooth RFCOMM o BLE GATT. Il dispositivo ponte, se connesso a internet, invia poi i dati al server di comando e controllo. Sono previsti anche percorsi multi hop fino a quattro salti, rendendo inefficace la semplice disconnessione dalla rete come misura di contenimento.