Um novo malware para Android chamado Manic, que atinge usuários em vários países europeus, possui um mecanismo de fallback para exfiltrar dados através de dispositivos infectados próximos.
O malware tem estado ativo pelo menos desde fevereiro e combina spyware, fraude bancária e capacidades de controle remoto.
Ele alvoiza pelo menos 169 aplicativos relacionados a bancos, governo/eID, pagamentos, carteiras criptográficas, mensagens e autenticadores/2FA, com usuários na Ucrânia sendo o foco principal.
A empresa de segurança móvel ThreatFabric analisou o malware Manic e descobriu que ele usa sobreposições transparentes nos teclados numéricos de aplicativos legítimos para capturar os toques dos usuários e reproduzi-los através do Android Accessibility, permitindo que os aplicativos legítimos continuem funcionando normalmente.
Fonte: ThreatFabric
Depois de obter permissões para Accessibility e notificações, o malware pode capturar a senha PIN/contrasenha, interceptar notificações e mensagens SMS, coletar arquivos e dados de localização, monitorar a tela e fornecer controle remoto aos operadores através de sessões WebRTC.
As informações capturadas são categorizadas por tipo, tornando os dados mais facilmente exploráveis pelos operadores do malware.
"O Manic usa seu serviço Accessibility como um keylogger da interface do usuário", explica a ThreatFabric, acrescentando que o malware "classifica texto capturado antes de registrá-lo, distinguindo entrada da tela inicial, candidatos a frase de recuperação, códigos SMS de quatro a seis dígitos, senhas, mensagens longas, logins de email e texto comum."
Fonte: ThreatFabric
Aos autores do malware Manic implementaram um mecanismo incomum de exfiltração de dados que entra em ação quando um dispositivo comprometido não pode alcançar o servidor de comando e controle (C2).
Os pesquisadores dizem que os dados são criptografados e transferidos através de dispositivos infectados próximos por meio de conexões Wi-Fi Direct ou Bluetooth.
"O Manic primeiro tenta usar um par Wi-Fi Direct estabelecido, então consulta pares Bluetooth e BLE para determinar se eles têm conectividade à internet", diz a ThreatFabric.
"Se necessário, o malware também pode usar rotas de múltiplos saltos, com itens recém-enfileirados configurados por padrão para um máximo de quatro saltos relais."
Este mecanismo também permite a exfiltração de dados mesmo de dispositivos offline, desde que outro dispositivo infectado esteja dentro do alcance Wi-Fi ou Bluetooth.
Fonte: ThreatFabric
A ThreatFabric diz que o malware alvoiza aplicativos usados em toda a Europa Central e Ocidental, incluindo o Reino Unido, bem como na Rússia. No entanto, seu foco principal parece ser os aplicativos bancários e de governo/eID na Ucrânia, além dos serviços financeiros globais e criptomoedas.
Embora o vetor exato de infecção permaneça desconhecido, os pesquisadores notaram no final de maio o uso de um wrapper que entregou a carga principal aos alvos, seguido por uma expansão da infraestrutura existente nos meses seguintes.
No mês de julho, foi observado um wrapper atualizado com verificações anti-análise mais fortes e carregamento DEX em memória, e também foi lançada uma nova painel e API.
Usuários do Android são aconselhados a evitar o download de APKs de fontes obscuras e portais não oficiais, negar permissões de Acessibilidade a menos que sejam necessárias por um aplicativo confiável e realizar regularmente varreduras do Play Protect para detectar e remover malware conhecido.
No geral, as pontuações de prevenção podem esconder o que acontece após o acesso inicial. Uma vez que os atacantes estejam usando credenciais válidas, a prevenção cai drasticamente.
O Relatório Azul 2026 mede defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção do cliente.