Uma nova ameaça para Android, codinome Manic, foi observada mirando ativamente bancos ucranianos, serviços de governo e de identidade, além de aplicativos de mensagens. O malware também tem como alvo instituições financeiras russas e europeias, serviços globais de fintech e criptomoedas, e comunicações voltadas ao meio militar.
“Manic está na interseção entre malware bancário para Android e spyware móvel, combinando recursos de fraude financeira com funções mais amplas de vigilância e controle do dispositivo”, informou a ThreatFabric em um relatório técnico.
Além de atingir aplicativos sensíveis e permitir o sequestro amplo do dispositivo, o malware introduz uma nova técnica de malha Wi-Fi que permite que os aparelhos infectados encaminhem dados por meio de outros dispositivos comprometidos próximos que tenham acesso à internet. A distribuição ocorre por sites de phishing e aplicativos dropper que se passam por utilitários.
A empresa holandesa de segurança informou que a atividade da família de malware remonta a fevereiro de 2026, quando o primeiro domínio foi registrado com uma identidade falsa. Pouco depois, começaram os esforços de desenvolvimento ativo, com o primeiro wrapper usando um aplicativo de reservas como isca e o implant surgindo até o fim de maio.
Em uma reviravolta, no entanto, esses esforços foram abandonados do fim de junho até meados de julho, enquanto sinais de uma segunda campanha de implantação surgiram por volta de 13 de julho. A versão mais recente do wrapper e do implant passou a incorporar verificações antifunção de análise mais fortes e a capacidade de roubar segredos da tela de bloqueio por phishing. Entre 24 e 28 de julho, um painel e uma API correspondentes foram colocados no ar.
Os arquivos APK ligados ao wrapper e ao implant são os seguintes:
tech.intel.dialer.updater (Wrapper)
org.honor.secure.helper (Wrapper)
org.lenovo.storage.processor (Implant)
dev.huawei.media.helper (Implant)
A análise do malware mostra que ele monitora 169 identificadores de pacotes associados a bancos, serviços de pagamento entre pessoas, conhecidos como P2P, e serviços de compre agora, pague depois, ou BNPL, carteiras e exchanges de criptomoedas, aplicativos de mensagens, serviços de governo e identidade eletrônica, navegadores, autenticadores e clientes de e-mail. A maioria dos alvos é ucraniana, mas a lista também inclui aplicativos usados na Rússia, na Europa Central e Ocidental e no Reino Unido.
“O conjunto de alvos sugere uma combinação de malware bancário e spyware”, observou a ThreatFabric. “A fraude financeira parece ser um objetivo central, com cobertura que inclui bancos, serviços de pagamento, exchanges e carteiras de criptomoedas, aplicativos de identidade governamental e autenticadores.”
Ao mesmo tempo, o Manic também foi projetado para atingir aplicativos de mensagens comerciais e voltados ao meio militar. Como o malware permite rastreamento de localização, monitoramento de notificações, coleta de arquivos e vigilância remota do dispositivo, a ampla lista de alvos permite que o operador acompanhe em tempo real a atividade financeira, as comunicações e a localização da vítima.
Assim como outras famílias de malware para Android, o Manic alcança seus objetivos abusando dos serviços de acessibilidade e das permissões de notificações do Android, o que na prática permite capturar segredos da tela de bloqueio ou exibir sobreposições falsas para coletar dados sensíveis ou ocultar a atividade maliciosa com telas pretas ou de atualização.
Entre os demais recursos notáveis do malware estão:
Interceptar interações com o teclado e coletar senhas, códigos de uso único e frases de recuperação
Usar os serviços de acessibilidade como um “keylogger de interface” para classificar e registrar texto junto com o aplicativo usado e verificar se ele está na lista de alvos do malware
Monitorar a tela e interagir remotamente com o dispositivo por meio de uma sessão WebRTC
Remover o implant do launcher
Registrar coordenadas e horário atuais e habilitar a localização do dispositivo, se ainda não estiver ativa
Capturar screenshots
Exportar contatos, histórico de chamadas, SMS e notificações
Obter a lista de aplicativos instalados
Enviar SMS para um número de telefone informado, junto com o texto fornecido
Exibir notificações falsas
Excluir um arquivo local selecionado
Bloquear a tela por meio do serviço de acessibilidade
Tentar desativar o Google Play Protect por meio de automação de interface
Além dessas capacidades, o Manic consegue capturar códigos PIN ao exibir uma sobreposição transparente sobre o teclado numérico legítimo do aplicativo alvo. Assim, quando o usuário toca na sobreposição, o malware registra a posição exata do toque e o elemento de interface próximo. Em seguida, ele desativa brevemente a interceptação de toques e replica a ação no teclado real, na mesma posição, aproveitando a API dos serviços de acessibilidade.
Na prática, isso permite que o aplicativo alvo funcione normalmente, enquanto o threat actor obtém o código PIN sem precisar exibir uma interface bancária falsa.
“A persistência depende de workers em segundo plano, alarmes e dos serviços de Acessibilidade e de notificações”, disse a ThreatFabric. “Esses componentes mantêm a comunicação com o C2, processam comandos, enviam dados acumulados e sincronizam a malha offline, com execução periódica a cada 10 a 15 minutos, dependendo da build.”
Talvez o aspecto mais incomum do Manic seja seu mecanismo de retransmissão do tipo store-and-forward para exfiltrar dados usando outro dispositivo em proximidade física com o Android comprometido, caso ele não consiga se conectar à infraestrutura controlada pelo atacante.
Com essa abordagem, a ideia é permitir que o dispositivo de origem permaneça offline enquanto o malware tenta localizar um segundo dispositivo infectado que possa fornecer um caminho alternativo até o servidor de command and control, ou C2. O mecanismo de retransmissão funciona assim:
Os arquivos coletados e os resultados dos comandos são preparados em formato criptografado e colocados em uma fila local
O malware procura um dispositivo infectado próximo usando Wi-Fi Direct, Bluetooth RFCOMM ou BLE GATT
Se um par for localizado, o pacote criptografado é retransmitido para ele e depois encaminhado ao servidor C2
O Manic também oferece suporte a rotas com múltiplos saltos, permitindo que os itens da fila sejam configurados para até quatro saltos de retransmissão por padrão. Se não houver dispositivos próximos, os dados permanecem na fila e o processo é tentado novamente mais tarde.
“Cada novo item colocado na fila recebe, por padrão, um limite de quatro saltos de retransmissão, embora a configuração possa alterar esse valor”, disse a ThreatFabric. “Os metadados da retransmissão também carregam a contagem atual de saltos. Um dispositivo online pode criar um grupo Wi-Fi Direct quando não encontra outros pares. Cada build mantida usa o mesmo nome de rede e tenta criar o grupo até três vezes.”
Isso também significa que desconectar um dispositivo infectado da internet não impede necessariamente a exfiltração de dados, já que o Manic pode usar outro Android comprometido como gateway.
“A evolução observada entre maio e julho de 2026, incluindo medidas antifunção de análise mais fortes e phishing de segredos da tela de bloqueio, indica que o Manic segue em desenvolvimento ativo e continua ampliando suas capacidades”, afirmou a ThreatFabric.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...