Manic unisce banking malware e spyware: Android diventa una rete di spionaggio mesh

🛡️ Executive Summary

• Manic colpisce 169 package Android tra banche, wallet crypto, eID, messaggistica, browser e autenticazione, con forte concentrazione sull’Ucraina.
• Il malware abusa di Accessibility e notifiche per rubare PIN, password, OTP e seed phrase e permette Device Takeover tramite WebRTC.
• La funzione più originale crea una rete mesh tra telefoni infetti via Wi-Fi Direct, Bluetooth e BLE per esfiltrare dati anche senza Internet diretto.

ThreatFabric ha identificato Manic, una nuova famiglia malware Android che supera la separazione tradizionale tra trojan bancario e spyware mobile. La piattaforma prende di mira 169 package ID appartenenti a banche, servizi di pagamento, exchange e wallet crypto, applicazioni governative ed eID, autenticatori, browser, email e sistemi di messaggistica, comprese applicazioni orientate alle comunicazioni militari. Il focus principale è l’Ucraina, ma la lista comprende anche Russia, Polonia, Germania, Francia, Spagna, Austria, Regno Unito e altri mercati europei. Manic ruba credenziali e PIN, osserva lo schermo, controlla il dispositivo in tempo reale e introduce soprattutto una tecnica insolita: telefoni compromessi vicini possono trasferirsi dati via Wi-Fi Direct o Bluetooth finché uno di essi non trova una connessione Internet verso il C2.

Manic nasce come piattaforma ibrida tra frode e sorveglianza

Il rapporto tecnico originale pubblicato dal Mobile Threat Intelligence Team di ThreatFabric traccia l’infrastruttura di Manic fino a febbraio 2026, quando sono stati registrati i primi sistemi collegati all’operazione. Tra marzo e aprile sono comparsi ambienti di sviluppo e produzione, mentre a fine maggio i ricercatori hanno recuperato i primi wrapper e implant conservati. Nel corso dell’estate lo sviluppo ha accelerato: a luglio un wrapper aggiornato ha introdotto controlli anti-analysis più robusti, caricamento DEX in memoria e tecniche di phishing dedicate al lock secret del dispositivo, mentre una seconda infrastruttura ha aggiunto nuovi panel e API.

La classificazione come semplice banking trojan non descrive quindi adeguatamente il progetto. Come TrickMo Variant C, già evoluto da trojan bancario a piattaforma completa di Device Takeover, Manic utilizza la frode finanziaria come una delle possibili conseguenze di un controllo molto più esteso sul telefono.

Sono monitorati 169 package tra banche, eID e comunicazioni

La lista degli obiettivi mostra chiaramente questa doppia natura. ThreatFabric ha contato 169 package ID collegati a istituti bancari, pagamenti P2P, servizi buy-now-pay-later, exchange, wallet, autenticatori 2FA, applicazioni governative ed eID, browser, client email e messaggistica. L’Ucraina rappresenta il target dominante, ma tra le applicazioni bancarie figurano anche servizi utilizzati in Russia, Polonia, Repubblica Ceca, Slovacchia, Austria, Germania, Francia, Spagna, Paesi Bassi, Estonia, Lituania e Regno Unito.

La componente finanziaria potrebbe da sola giustificare un’operazione criminale tradizionale, ma la presenza di messenger commerciali e orientati a utenti militari, insieme alla raccolta della posizione e dei file, amplia il potenziale impiego verso la sorveglianza. ThreatFabric non attribuisce Manic a uno Stato né conclude che si tratti di un’operazione di intelligence: il report sostiene invece che il targeting suggerisce una combinazione di banking malware e spyware. La distinzione è importante soprattutto in un teatro ucraino dove applicazioni bancarie, identità digitale e comunicazioni possono concentrare informazioni di valore molto diverso.

Accessibility trasforma il telefono in un keylogger dell’interfaccia

Una volta ottenuti Accessibility Service e accesso alle notifiche, Manic costruisce progressivamente il proprio controllo sul dispositivo. L’Accessibility service funziona come un UI keylogger, ma non si limita a memorizzare indiscriminatamente tutto il testo. Il malware classifica il contenuto intercettato distinguendo credenziali della schermata di blocco, potenziali recovery phrase, codici SMS da quattro a sei cifre, password, messaggi lunghi, login email e testo ordinario.

Ogni record conserva applicazione e package di origine, timestamp e informazioni sull’inserimento manuale o tramite Autofill. È un’evoluzione della stessa superficie Android abusata da numerosi trojan moderni: Crocodilus utilizza Accessibility per rubare OTP, seed phrase e controllare interamente il dispositivo, mentre FvncBot sfrutta keylogging, overlay e streaming video per attacchi bancari. Manic combina queste capacità con raccolta sistematica di notifiche, SMS, cronologia chiamate, contatti e file.

Il PIN viene rubato senza imitare la schermata bancaria

Una delle tecniche più interessanti riguarda pinPadOverlay. Il metodo non presenta alla vittima una falsa pagina bancaria completa, come accade nei classici overlay attack. Quando Manic identifica una tastiera numerica all’interno di un’applicazione target, costruisce un overlay soltanto sopra l’area occupata dai tasti. Quando la vittima tocca un numero, il malware registra posizione e elemento dell’interfaccia, disabilita momentaneamente l’intercettazione del touch e riproduce lo stesso tap attraverso Accessibility sulla vera applicazione bancaria sottostante.

La banca riceve quindi correttamente il PIN e continua a funzionare, mentre l’attaccante acquisisce in parallelo la sequenza digitata. Questo riduce gli artefatti visuali che potrebbero insospettire l’utente. Il malware possiede poi una seconda capacità denominata autoEnterPin, dedicata alla schermata di blocco Android, attraverso la quale può provare a riutilizzare una credenziale o un pattern già sottratti. La tecnica sviluppa ulteriormente un filone già osservato nei BankBot Android capaci di intercettare OTP, password e interazioni dell’interfaccia.

WebRTC consente il Device Takeover in tempo reale

Manic non si limita alla raccolta passiva. Le sessioni remote WebRTC permettono all’operatore di osservare il display e interagire con il dispositivo utilizzando i privilegi di Accessibility. Durante queste operazioni il malware può mostrare schermate nere, false pagine o messaggi di aggiornamento, mascherando ciò che sta avvenendo dietro l’overlay.

La build di luglio rimuove inoltre l’implant dal launcher, affidandosi al wrapper o a un deep link per riattivarlo. Tra i comandi identificati da ThreatFabric figurano acquisizione dello screenshot, localizzazione GPS, esportazione di SMS, chiamate, contatti, notifiche, elenco delle applicazioni, file arbitrari, invio di SMS, esecuzione di codici USSD e visualizzazione di notifiche controllate dall’operatore. La struttura ricorda l’evoluzione osservata con Xenomorph e il framework Automated Transfer System, dove il malware Android non si limitava più a sottrarre credenziali ma automatizzava intere fasi della frode. Con Manic la stessa logica viene estesa alla sorveglianza generale del dispositivo.

La rete mesh permette di esfiltrare dati senza Internet diretto

La funzione che distingue Manic dalle famiglie precedenti è però il device-to-device relay. I dati raccolti vengono cifrati con AES-GCM e inseriti in una coda locale. Se il telefono non riesce a raggiungere direttamente il server C2, il malware cerca altri dispositivi Manic nelle vicinanze attraverso Wi-Fi Direct, Bluetooth RFCOMM e BLE GATT. Il primo tentativo utilizza eventuali peer Wi-Fi Direct già disponibili; in assenza di una connessione valida vengono interrogati i dispositivi Bluetooth e BLE per determinare se uno di essi possieda accesso a Internet. Il pacchetto cifrato viene quindi passato al peer che lo inoltra verso il C2. ThreatFabric ha identificato anche supporto per percorsi multi-hop, con un massimo predefinito di quattro passaggi. Il risultato è una piccola rete store-and-forward nella quale il dispositivo originario può rimanere offline. Disabilitare la sua connessione dati o rimuoverlo da una rete Wi-Fi non garantisce quindi che l’esfiltrazione sia terminata: un secondo telefono infetto nelle vicinanze può funzionare da gateway.

La mesh cambia anche il modello di risposta all’incidente

Questa architettura ha implicazioni importanti per gli ambienti dove molti smartphone rimangono fisicamente vicini, come uffici pubblici, basi operative, strutture militari, aziende o istituti finanziari. Una singola infezione senza collegamento esterno potrebbe continuare a raccogliere informazioni e consegnarle successivamente attraverso un altro dispositivo compromesso. Il modello richiama le reti opportunistiche utilizzate in scenari nei quali la connettività è intermittente, ma viene qui applicato direttamente a un malware Android. Dal punto di vista difensivo significa che isolare dalla rete l’endpoint sospetto non chiude necessariamente il canale: occorre considerare anche Wi-Fi Direct, Bluetooth e BLE. La funzionalità appare particolarmente significativa proprio perché Manic concentra il targeting sull’Ucraina e include messenger orientati alle comunicazioni militari, anche se ThreatFabric non sostiene che la mesh sia stata progettata specificamente per un contesto bellico.

Persistenza e comunicazioni ripartono ogni 10-15 minuti

La persistenza si basa su background worker, alarm, Accessibility e notification service. Questi componenti mantengono il collegamento con il C2, elaborano i comandi, caricano i dati in coda e sincronizzano la mesh offline con intervalli che, a seconda della build, si collocano tra 10 e 15 minuti. ThreatFabric ha osservato una progressiva maturazione del codice tra maggio e luglio, con protezioni anti-analysis più aggressive e caricamento DEX direttamente in memoria per ridurre gli artefatti disponibili sul filesystem.

I package impiegati cercano inoltre di imitare componenti apparentemente innocui o riconducibili a marchi tecnologici conosciuti, con nomi come org.lenovo.storage.processor, tech.apple.dialer.scheduler, org.honor.secure.helper e dev.huawei.media.helper. Non significa che Lenovo, Apple, Honor o Huawei abbiano alcun collegamento con l’operazione: si tratta esclusivamente di identificativi utilizzati dal malware per sembrare meno sospetto.

Banking malware e spyware stanno convergendo

Manic mostra quanto la classificazione tradizionale delle minacce Android stia diventando insufficiente. Un banking trojan moderno può ormai rubare credenziali, catturare OTP, prendere il controllo del dispositivo, registrare comunicazioni, raccogliere file, localizzare la vittima e mantenere canali di esfiltrazione alternativi.

Lo stesso movimento era già visibile con TrickMo Variant C e la trasformazione dello smartphone in un nodo programmabile attraverso tunnel e proxy e con Crocodilus, esteso rapidamente dalla Turchia a Europa, Americhe e Asia. Anche le campagne Android osservate in Italia continuano a usare APK distribuiti via SMS per ottenere overlay, notifiche e controllo delle sessioni bancarie. Manic aggiunge però una caratteristica che sposta ulteriormente il confine: il dispositivo compromesso non è soltanto una vittima, ma può diventare infrastruttura di trasporto per gli altri telefoni infetti. È questa combinazione tra frode finanziaria, sorveglianza e comunicazione mesh a rendere la nuova famiglia più interessante della semplice somma delle sue funzioni.