A Manic nevű új androidos kártevő nem egyszerűen banki adatokat próbál megszerezni. Ha egy fertőzött telefon nem éri el az internetet, az ellopott adatokat egy másik, közelben lévő fertőzött készüléken keresztül is továbbíthatja.
Ehhez Wi-Fi Directet és Bluetooth-kapcsolatot használhat, vagyis az internetkapcsolat megszüntetése önmagában nem feltétlenül állítja meg az adatlopást. A kártevőt felfedező ThreatFabric részletes elemzése szerint a Manic jelenleg is aktív fejlesztés alatt áll.
A Manic valahol a banki trójaiak és a kémprogramok között helyezkedik el. A jelenlegi változat 169 alkalmazás csomagazonosítóját figyeli: banki és fizetési appok, kriptotárcák és -tőzsdék, hitelesítő alkalmazások, böngészők, levelezők, üzenetküldők, valamint kormányzati és elektronikus személyazonosításra használt szolgáltatások is vannak közöttük. A legtöbb célpont ukrán, de Oroszországban, az Egyesült Királyságban és számos közép- és nyugat-európai országban használt alkalmazások is szerepelnek a listán. Magyarországot a kutatók külön nem említik a felsorolt országok között.
Ha megfelelő jogosultságokat kap, a kártevő már jóval többre képes néhány jelszó ellopásánál. A kisegítő lehetőségekkel és az értesítések elérésével figyelheti a telefonon bevitt adatokat, SMS-eket és értesítéseket gyűjthet, fájlokat szerezhet meg, lekérheti a helyadatokat, képernyőképet készíthet, valamint távolról is vezérelhetővé teheti a készüléket. A ThreatFabric által feltárt parancsok között még a Google Play Protect kikapcsolásának megkísérlése is szerepel.
A valódi banki alkalmazásból is kilophatja a PIN-t
A PIN-kód megszerzésére különösen érdekes módszert használ. Sok banki trójai egy hamis bejelentkezési felületet tesz az eredeti alkalmazás elé, és így veszi rá a felhasználót az adatai megadására. A Manicnak erre nincs feltétlenül szüksége.
Amikor megtalálja egy célba vett alkalmazás valódi számbillentyűzetét, egy átlátszó réteget helyez fölé. A felhasználó megérinti például az 5-ös gombot, a kártevő pedig rögzíti az érintés helyét, majd ugyanazt az érintést továbbítja az alatta futó valódi alkalmazásnak. A banki app tehát a megszokott módon működik tovább, de közben a Manic is megtudja, mely számokat nyomták meg. A módszerről a Vosveteit beszámolója is részletesen ír.
Más fertőzött telefonokon keresztül is távozhatnak az adatok
A Manic igazán szokatlan megoldása azonban az adatok továbbításánál jelenik meg. Ha a fertőzött telefon nem tud kapcsolódni a támadók vezérlőszerveréhez, az összegyűjtött fájlokat és egyéb adatokat titkosítva helyben eltárolja, majd más Manic által fertőzött készülékeket keres a közelben.
A telefonok Wi-Fi Directen, hagyományos Bluetoothon vagy Bluetooth Low Energyn keresztül kommunikálhatnak egymással. Ha valamelyik közeli fertőzött készülék rendelkezik internetkapcsolattal, átveheti a csomagot, majd továbbküldheti azt. A rendszer még arra sincs korlátozva, hogy egyetlen közvetítő telefont használjon: a ThreatFabric technikai elemzése szerint az alapértelmezett határ négy továbbítási lépés.
Ez nem azt jelenti, hogy a Manic Bluetoothon keresztül megfertőz minden közeli androidos telefont. A továbbításhoz már eleve fertőzött készülék szükséges. A helyi kapcsolat tehát az ellopott adatok mozgatására szolgál, nem a kártevő automatikus terjesztésére. Ha nincs használható telefon a közelben, az adatokat megtartja, és később újra megpróbálja továbbítani.
A Manichez kapcsolódó első infrastruktúrát 2026 februárjáig vezették vissza. Márciusban és áprilisban további fejlesztői és éles szolgáltatások jelentek meg, május végére pedig a kutatók már a betöltőt és magát a kártevőt is azonosították. A júliusi változat erősebb elemzésellenes védelmet, memóriából betöltött DEX kódot és a készülék zárolási adatainak megszerzésére szolgáló új módszert is kapott. A gyors változások alapján a Manic még korántsem tekinthető kész projektnek.
A fertőzés pontos kezdeti módját a kutatók egyelőre nem tudták egyértelműen meghatározni, ezért azt sem lenne helyes állítani, hogy biztosan egy meghatározott phishingkampány vagy konkrét alkalmazásbolt terjeszti. Amit viszont már látni lehet: ha egy ismeretlen vagy indokolatlanul egyszerű alkalmazás hozzáférést kér az Android kisegítő lehetőségeihez és az értesítésekhez, azt érdemes komoly figyelmeztető jelként kezelni.
