Il malware Android Manic trasmette dati rubati attraverso i dispositivi vicini

Manic è un nuovo malware Android individuato da ThreatFabric che unisce funzionalità di trojan bancario e spyware. La sua peculiarità è la capacità di esfiltrare dati anche in assenza di connessione Internet, sfruttando Wi-Fi Direct, Bluetooth e BLE per inoltrare le informazioni rubate attraverso altri dispositivi infetti fino al server degli attaccanti.

Gli specialisti di ThreatFabric hanno scoperto un nuovo malware Android dal nome Manic, che combina le funzioni di un trojan bancario e di uno spyware. La caratteristica principale di Manic è il suo insolito meccanismo di esfiltrazione dei dati: se lo smartphone infetto non ha accesso a Internet, i dati rubati vengono trasmessi al server di controllo attraverso altri dispositivi nelle vicinanze utilizzando Wi-Fi Direct, Bluetooth o BLE.

Secondo i ricercatori, Manic è attivo dal febbraio 2026 e viene distribuito attraverso siti di phishing e dropper mascherati da varie utilità utili. Gli obiettivi principali di questo malware sono gli utenti di applicazioni ucraine, ma il malware attacca anche applicazioni utilizzate in Russia, Gran Bretagna, paesi dell’Europa centrale e occidentale, nonché servizi fintech globali e piattaforme di criptovaluta.

In totale, Manic monitora 169 applicazioni, tra cui banche, servizi di pagamento, portafogli e scambi di criptovaluta, servizi governativi e di identificazione elettronica, messaggistica istantanea, browser, client di posta elettronica e applicazioni di autenticazione. Separatamente, gli esperti notano che tra gli obiettivi ci sono applicazioni destinate alle comunicazioni militari.

Si ritiene che questo strano insieme rifletta il duplice scopo del malware, con i suoi operatori impegnati contemporaneamente in spionaggio e attacchi a sfondo finanziario.

Una volta che il dispositivo è infetto, Manic tenta di accedere ai servizi e alle notifiche di accessibilità. Ciò consente al malware di intercettare SMS e notifiche, rubare file, elenchi di contatti e cronologia chiamate, tracciare la geolocalizzazione dell’utente, acquisire screenshot e controllare da remoto il dispositivo tramite WebRTC. Inoltre, il malware utilizza i servizi di accessibilità come keylogger dell’interfaccia utente e classifica il testo intercettato per tipo, evidenziando separatamente password, codici SMS, dati dalla schermata di blocco, indirizzi email e possibili frasi seed.

Per rubare i codici PIN, Manic utilizza degli overlay trasparenti posizionati sopra vere e proprie tastiere digitali. Il malware registra le coordinate dei tasti premuti e quindi utilizza i servizi di accessibilità per ripeterli su una tastiera reale. Di conseguenza, l’applicazione continua a funzionare normalmente e gli aggressori ricevono il PIN.

Tuttavia, la caratteristica più insolita di Manic riguarda il trasferimento di dati rubati. Se il dispositivo infetto non riesce a contattare il server di controllo e non ha accesso a Internet, tutte le informazioni raccolte dal malware vengono crittografate e inserite in una coda locale. Successivamente, Manic cerca altri dispositivi infetti nelle vicinanze tramite Wi-Fi Direct, Bluetooth o BLE e controlla se hanno accesso a Internet.

Se viene trovato un dispositivo adatto, il pacchetto crittografato viene trasferito ad esso per essere ulteriormente inviato al server di controllo. Si sottolinea che Manic supporta percorsi multi-hop e, per impostazione predefinita, un pacchetto può attraversare fino a quattro relè prima di raggiungere il server di controllo.

Se non vengono trovati altri dispositivi infetti nelle vicinanze, le informazioni rubate rimangono nella coda di trasferimento e il tentativo viene ripetuto in seguito.

ThreatFabric ritiene che il malware sia attualmente in fase di sviluppo. Pertanto, i ricercatori hanno notato il primo campione di Manic alla fine di maggio e già a luglio è apparsa una versione aggiornata con anti-analisi potenziata e caricamento DEX in memoria. Sempre questo mese, gli operatori di malware hanno lanciato un nuovo pannello di controllo e un’API.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response