ThreatFabric ha documentato Manic, una nuova famiglia di malware per Android che combina attività fraudolente bancarie con lo spionaggio. Il malware monitora 169 applicazioni, tra cui banche, servizi di identità digitale, portafogli di criptovalute e app di messaggistica, concentrandosi principalmente sull’Ucraina.

L’analisi tecnica è iniziata a febbraio 2026. Quando un telefono infetto non riesce a connettersi al server di comando e controllo, Manic esfiltra i dati raccolti spingendoli verso altri dispositivi compromessi nel raggio del Wi-Fi o Bluetooth, che a loro volta li inoltrano all’infrastruttura degli operatori.

Tra le applicazioni monitorate figurano banche ucraine e russe, istituti finanziari in Polonia, Repubblica Ceca, Slovacchia, Austria, Germania, Francia, Spagna, Paesi Bassi, Estonia, Lituania e Regno Unito. Il malware prende di mira anche servizi di pagamento peer-to-peer, exchange e wallet di criptovalute, app di autenticazione a due fattori e applicazioni statali per l’identità digitale in sette paesi.

Oltre ai bersagli finanziari, Manic sorveglia app di messaggistica commerciale e militare, browser e client di posta elettronica. Questa combinazione di frode bancaria e sorveglianza rappresenta un approccio insolito nel panorama delle minacce Android.

Il malware viene distribuito tramite un’app-contenitore che installa il modulo principale, utilizzando nomi di pacchetti che imitano componenti di sistema di produttori noti: tech.intel.dialer.updater (luglio), org.lenovo.storage.processor e dev.huawei.media.helper.

La versione di luglio ha introdotto controlli anti-analisi più rigorosi e il caricamento del codice DEX direttamente in memoria. In questa build, il modulo scompare dall’elenco delle app installate e si attiva solo tramite il contenitore o un deep link.

Manic utilizza una tecnica chiamata pinPadOverlay che rinuncia alla tradizionale schermata overlay bancaria. Quando rileva una tastiera numerica in un’app bersaglio, sovrappone uno strato trasparente all’area dei tasti. Ogni tocco viene registrato con la posizione esatta e l’elemento dell’interfaccia utente più vicino. Il malware disattiva temporaneamente l’intercettazione e riproduce lo stesso tocco alle stesse coordinate tramite i servizi di accessibilità, consentendo all’app legittima di ricevere l’input senza anomalie visibili.

La funzione autoEnterPin tenta di inserire credenziali o sequenze memorizzate sulla schermata di blocco di Android, potenzialmente sbloccando il telefono. Entrambe le funzioni sfruttano i servizi di accessibilità per registrare tutto ciò che viene digitato.

Manic classifica il testo catturato prima di registrarlo, distinguendo l’input della schermata di blocco, le possibili frasi di recupero dei wallet, i codici SMS a quattro o sei cifre, le password, i messaggi lunghi, le credenziali e-mail e il testo normale. Ogni voce include l’app di provenienza, l’ora, se l’input proviene dall’autocompletamento o dalla digitazione manuale e se l’app è nella lista dei bersagli.

Il malware offre all’operatore un controllo remoto interattivo tramite una sessione WebRTC, consentendo di visualizzare lo schermo o la fotocamera frontale in diretta e interagire con il dispositivo tramite i servizi di accessibilità. Schermate nere, finte o di aggiornamento coprono l’attività e nascondono le richieste di autorizzazione.

L’elenco dei comandi accettati include l’esportazione di SMS, registro chiamate, contatti, notifiche e app installate, l’invio di messaggi a numeri specifici, l’esecuzione di codici USSD, il blocco dello schermo e un tentativo di disattivare Google Play Protect. Un comando per reimpostare la password è presente nel codice ma non funziona poiché la logica di amministrazione del dispositivo necessaria per eseguirlo è stata rimossa.

Il meccanismo di esfiltrazione più insolito accumula e inoltra i dati raccolti. I file e i risultati dei comandi vengono crittografati con AES-GCM e inseriti in una coda locale, che rimane sul dispositivo finché non trova un percorso di uscita. A quel punto, Manic cerca altri telefoni infetti nelle vicinanze utilizzando Wi-Fi Direct, Bluetooth RFCOMM o BLE GATT. Prima tenta di utilizzare una connessione Wi-Fi Direct esistente, quindi interroga i dispositivi Bluetooth e BLE per verificare la connettività.

Se trova un dispositivo adatto, gli invia il pacchetto crittografato, che prosegue verso il server di comando attraverso più passaggi intermedi, con un limite massimo di quattro salti. ThreatFabric sottolinea che un dispositivo connesso può anche creare una rete Wi-Fi Direct se non trova altri nodi e che il tentativo di creazione del gruppo viene ripetuto fino a tre volte.

Questo significa che scollegare un telefono compromesso dalla rete non ne impedisce l’esfiltrazione dei dati se si trova nelle vicinanze un altro dispositivo infetto. La sincronizzazione della coda avviene tramite gli stessi componenti che garantiscono la persistenza, come processi in background, sveglie di sistema e servizi di accessibilità e notifica, con esecuzione periodica ogni dieci-quindici minuti.

La cronologia ricostruita da ThreatFabric inizia a febbraio 2026 con la registrazione della prima infrastruttura, prosegue con lo sviluppo e la produzione tra fine marzo e aprile e con l’apparizione del primo contenitore a fine maggio. Tra fine giugno e metà luglio, l’ambiente di sviluppo iniziale è stato gradualmente abbandonato, mentre intorno al 13 luglio è apparso un secondo impianto operativo, seguito dal 24 al 28 luglio da un nuovo pannello di controllo e dalla relativa API.

Gli indicatori di compromissione, con gli hash e i nomi dei pacchetti, sono pubblicati in appendice al rapporto. Le contromisure consigliate includono l’installazione di APK solo da canali ufficiali e la concessione dei permessi di accessibilità solo ad applicazioni che ne hanno un motivo valido.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.