Een nieuwe Android-dreiging met de codenaam Manisch Er is waargenomen dat het zich actief richt op Oekraïense banken, overheids- en identiteitsdiensten en berichtentoepassingen, maar ook op Russische en Europese financiële instellingen, mondiale fintech- en cryptocurrency-diensten en militair gerichte communicatie.
“Manic bevindt zich op het kruispunt van malware voor Android-bankieren en mobiele spyware, en combineert mogelijkheden voor financiële fraude met bredere surveillance- en apparaatcontrolefuncties”, aldus ThreatFabric in een technisch rapport gedeeld met The Hacker News.
De malware richt zich niet alleen op gevoelige applicaties en maakt uitgebreide apparaatovername mogelijk, maar introduceert ook een nieuwe Wi-Fi mesh-techniek die het voor de geïnfecteerde apparaten mogelijk maakt om gegevens door te geven via nabijgelegen gecompromitteerde apparaten met internettoegang. Het wordt verspreid via phishing-sites en dropper-apps die zich voordoen als hulpprogramma’s.
Het Nederlandse beveiligingsbedrijf zei dat de activiteit van de malwarefamilie teruggaat tot februari 2026, toen het eerste domein werd geregistreerd met een verzonnen persona. Niet lang daarna volgden actieve ontwikkelingsinspanningen, waarbij de eerste verpakking gebruik maakte van een boekingsapp en het implantaat eind mei verscheen.
Maar in een interessante wending werden deze inspanningen stopgezet van eind juni tot half juli, terwijl tekenen van een tweede inzet rond 13 juli opdoken. De nieuwere versie van de verpakking en het implantaat blijken sterkere anti-analysecontroles te bevatten en de mogelijkheid om geheimen op het phishing-vergrendelingsscherm te achterhalen. Een bijbehorend panel en API gingen vervolgens live tussen 24 en 28 juli.
De APK-pakketnamen die aan de wrapper en het implantaat zijn gekoppeld, staan hieronder:
- tech.intel.dialer.updater (wrapper)
- org.honor.secure.helper (Wrapper)
- org.lenovo.storage.processor (implantaat)
- dev.huawei.media.helper (implantaat)
Uit onderzoek van de malware blijkt dat deze 169 pakket-ID’s monitort die verband houden met banken, peer-to-peer (P2P) betalingen en Buy Now, Pay Later (BNPL)-diensten, cryptocurrency-portefeuilles en -uitwisselingen, berichtenapps, overheids- en eID-diensten, browsers, authenticators en e-mailclients. Het merendeel van de doelwitten is Oekraïens, maar ook in de lijst staan apps die worden gebruikt in Rusland, Centraal- en West-Europa en het Verenigd Koninkrijk.
“De gestelde doelen suggereren een combinatie van bankmalware en spyware”, aldus ThreatFabric. “Financiële fraude lijkt een belangrijk doel te zijn, met dekking die banken, betalingsdiensten, cryptocurrency-uitwisselingen en -portemonnees, overheidsidentiteitsapps en authenticatoren omvat.”
Tegelijkertijd is Manic ook ontworpen om zich te richten op commerciële en militair gerichte berichtenapps. Omdat de malware het volgen van locaties, het monitoren van meldingen, het verzamelen van bestanden en het toezicht op apparaten op afstand mogelijk maakt, stelt de brede targeting de operator in staat de financiële activiteiten, communicatie en verblijfplaats van het slachtoffer in realtime in de gaten te houden.
Net als andere Android-malwarefamilies bereikt Manic zijn doelen door misbruik te maken van de toegankelijkheidsservices en meldingsrechten van Android, waardoor het effectief schermgeheimen kan vastleggen of nep-overlays kan weergeven om gevoelige gegevens te verzamelen of kwaadaardige activiteiten te verbergen door zwarte schermen weer te geven of schermen bij te werken.
Enkele van de andere opmerkelijke kenmerken van de malware worden hieronder vermeld:
- Onderschep toetsenbordinteracties en verzamel wachtwoorden, eenmalige codes en herstelzinnen
- Maak gebruik van toegankelijkheidsservices als een “UI keylogger” om tekst te classificeren en op te nemen samen met de gebruikte app, en of die app op de doellijst van de malware staat
- Houd het scherm in de gaten en communiceer op afstand met het apparaat via een WebRTC-sessie
- Verwijder het implantaat uit de draagraket
- Registreer de huidige coördinaten en tijdstempel (en schakel de apparaatlocatie in, als dit nog niet is gebeurd)
- Maak schermafbeeldingen
- Exporteer contacten, belgeschiedenis, sms-berichten en meldingen
- Verkrijg een lijst met geïnstalleerde apps
- Stuur een sms naar een opgegeven telefoonnummer samen met de opgegeven tekst
- Geef nepmeldingen weer
- Verwijder een geselecteerd lokaal bestand
- Vergrendel het scherm via de toegankelijkheidsservice
- Probeer Google Play Protect uit te schakelen via UI-automatisering
Naast deze mogelijkheden kan Manic pincodes vastleggen door een transparante overlay bovenop het legitieme numerieke toetsenbord in de beoogde app te plaatsen. Wanneer een gebruiker op de overlay tikt, registreert de malware dus de exacte tikpositie en het nabijgelegen UI-element. Vervolgens wordt de aanraakonderschepping kortstondig uitgeschakeld en wordt vervolgens de tik op het eigenlijke toetsenbord op dezelfde positie gerepliceerd door gebruik te maken van de API voor toegankelijkheidsservices.
Hierdoor kan de beoogde app normaal functioneren, terwijl de bedreigingsactor in het bezit is van de pincode zonder dat hij een nep-bankinterface hoeft weer te geven.
“Persistentie is afhankelijk van achtergrondmedewerkers, alarmen en de toegankelijkheids- en meldingsdiensten”, aldus ThreatFabric. “Deze componenten onderhouden de C2-communicatie, verwerken opdrachten, uploaden gegevens in de wachtrij en synchroniseren de offline mesh, met periodieke uitvoering elke 10 tot 15 minuten, afhankelijk van de build.”
Misschien wel het meest ongebruikelijke aspect van Manic is het store-and-forward relay-mechanisme om gegevens te exfiltreren met behulp van een ander apparaat dat zich in de fysieke nabijheid van de gecompromitteerde Android-telefoon bevindt als het geen verbinding kan maken met de door de aanvaller gecontroleerde infrastructuur.
Met deze aanpak is het de bedoeling om het bronapparaat offline te laten blijven terwijl de malware probeert een tweede geïnfecteerd apparaat te lokaliseren dat een alternatief pad naar de command-and-control (C2)-server kan bieden. Het relaismechanisme werkt als volgt:
- De verzamelde bestanden en opdrachtresultaten worden in een gecodeerd formaat geënsceneerd en in een lokale wachtrij geplaatst
- Vind een geïnfecteerde peer in de buurt met behulp van Wi-Fi Direct, Bluetooth RFCOMM of BLE GATT
- Als een peer wordt gelokaliseerd, wordt het gecodeerde pakket ernaar doorgestuurd en doorgestuurd naar de C2-server
Manic ondersteunt ook multi-hop-routes, waardoor de items in de wachtrij standaard kunnen worden geconfigureerd voor maximaal vier relay-hops. Als er geen peers worden gevonden, worden de gegevens in de wachtrij bewaard en wordt het hele proces later opnieuw geprobeerd.
“Elk nieuw in de wachtrij geplaatst item krijgt standaard een relay-limiet van vier hops, hoewel de configuratie die waarde kan veranderen”, vertelde ThreatFabric aan The Hacker News. “De relay-metagegevens bevatten ook het huidige aantal hops. Een online peer kan een Wi-Fi Direct-groep maken als hij geen peers vindt. Elke behouden build gebruikt dezelfde netwerknaam en probeert de groep maximaal drie keer te maken.”
Dit betekent ook dat het loskoppelen van een geïnfecteerd apparaat van internet niet noodzakelijkerwijs gegevensexfiltratie voorkomt, omdat Manic een ander gecompromitteerd Android-apparaat als gateway kan gebruiken.
“De evolutie waargenomen tussen mei en juli 2026, inclusief sterkere anti-analysemaatregelen en geheime phishing, geeft aan dat Manic actief in ontwikkeling blijft en zijn mogelijkheden blijft uitbreiden”, aldus ThreatFabric.
