Il malware Android Manic, attivo da febbraio e diffuso in Europa, punta soprattutto utenti ucraini e sfrutta Wi-Fi Direct e Bluetooth per esfiltrare dati anche da dispositivi offline, colpendo app bancarie, governative e crypto.
Un nuovo malware Android chiamato Manic sta colpendo utenti in diversi Paesi europei, con una particolare attenzione verso l'Ucraina. Attivo almeno da febbraio, Manic combina funzioni di spyware, frode bancaria e controllo remoto, prendendo di mira almeno 169 applicazioni tra cui servizi bancari, eID governativi, pagamenti, wallet crypto, messaggistica e app di autenticazione/2FA.
Come agisce Manic: tecniche di furto e controllo
Secondo l'analisi di ThreatFabric, Manic utilizza overlay trasparenti sulle tastiere numeriche delle app legittime per registrare i tocchi degli utenti e riprodurli tramite i servizi di Accessibilità di Android, senza interrompere il funzionamento delle app stesse. Una volta ottenuti i permessi di Accessibilità e accesso alle notifiche, il malware può catturare PIN e password di sblocco, intercettare notifiche e SMS, raccogliere file e dati di posizione, monitorare lo schermo e consentire il controllo remoto tramite sessioni WebRTC. I dati raccolti vengono classificati per tipologia, facilitando l'uso da parte degli operatori malevoli. ThreatFabric sottolinea che Manic "usa il servizio di Accessibilità come keylogger UI", distinguendo tra input della schermata di blocco, frasi di recupero, codici SMS, password, messaggi lunghi, login email e testo ordinario.
Esfiltrazione dati tramite dispositivi vicini
Una delle caratteristiche più insolite di Manic è il meccanismo di esfiltrazione dati in assenza di connessione al server C2: i dati vengono cifrati e trasferiti tramite altri dispositivi infetti nelle vicinanze, sfruttando Wi-Fi Direct o Bluetooth. Il malware cerca prima peer Wi-Fi Direct già collegati, poi verifica la connettività Internet dei peer Bluetooth e BLE. Se necessario, può utilizzare percorsi multi-hop fino a quattro relay per trasmettere i dati, permettendo così la fuga di informazioni anche da dispositivi offline purché vicini ad altri infetti.
Diffusione, vettori d'infezione e consigli di sicurezza
Manic prende di mira app diffuse in Europa centrale e occidentale, Regno Unito e Russia, ma il focus principale resta su servizi bancari e governativi ucraini, oltre a piattaforme fintech e crypto globali. Il vettore d'infezione preciso non è stato ancora identificato, ma a maggio è stato osservato l'uso di un wrapper per consegnare il payload principale, seguito da un'espansione dell'infrastruttura. A luglio, sono stati rilevati un wrapper aggiornato con controlli anti-analisi più robusti e caricamento DEX in memoria, oltre a una nuova interfaccia di gestione e API.
Per proteggersi, gli utenti Android dovrebbero evitare di scaricare APK da fonti sconosciute, negare i permessi di Accessibilità se non strettamente necessari e affidarsi a Play Protect per scansioni regolari. Il fenomeno dei malware che sfruttano dispositivi vicini per propagarsi o esfiltrare dati ricorda quanto già visto con alcune botnet su router, come illustrato nell'analisi sulla botnet Evooo1Bot che trasforma i router in nodi proxy.
