Новооткрита фамилия зловреден софтуер за Android, наречена Manic, съчетава банкова измама с пълномащабен шпионски софтуер и идва с трик, който изследователите рядко виждат в реална среда: когато заразен телефон няма собствена интернет връзка, той може тихомълком да я заеме от друго заразено устройство наблизо.

Зловредният софтуер е идентифициран от екипа за разузнаване на мобилни заплахи на ThreatFabric, който описва Manic като пресечна точка между банковите троянски коне за Android и мобилния шпионски софтуер.

Вместо да се фокусира върху единична измама, Manic предоставя на своите оператори пълен набор от инструменти за измами: той може да чете ПИН кода на жертвата, да наблюдава екрана ѝ на живо, да отвлича банкови сесии и да извлича файлове, съобщения и данни за местоположението от устройството.

ThreatFabric проследява инфраструктурата на Manic обратно до февруари 2026 г., като разработката се ускорява през пролетта, а по-усъвършенствана версия се появява до юли, включваща по-добра защита срещу анализ и зареждане на код в паметта.

Зловредният софтуер в момента наблюдава 169 приложения, обхващащи банки, държавни портали за идентичност, платежни услуги, портфейли и борси за криптовалута, приложения за удостоверяване на автентичността и платформи за съобщения.

Украйна очевидно е приоритет, като се обхващат национални банки и eID услуги, но списъкът с цели се разпростира и в Русия, Полша, Германия, Чехия, Словакия и Обединеното кралство, заедно с глобални финтех и крипто платформи.

Тази смес говори сама за себе си. Финансовите институции и крипто портфейлите сочат към директна кражба, докато включването на приложения за правителствена идентичност и търговски и военно ориентирани месинджъри предполага, че операторите искат също така да получат представа за комуникациите на жертвата, а не само за банковото ѝ салдо.

Повечето банкови троянски коне крадат идентификационни данни, като показват убедителен фалшив екран за вход върху реалното приложение – техника, известна като атака с припокриване (overlay attack). Manic до голяма степен прескача тази стъпка. Вместо това, след като получи разрешения за достъпност (Accessibility) и известия, той поставя прозрачен слой само върху цифровата клавиатура на истинско банково приложение, като тихомълком записва къде докосва жертвата.

След това той възпроизвежда точно тези докосвания обратно в реалното приложение чрез услугата за достъпност на Android, така че трансакцията преминава нормално, докато ПИН кодът се регистрира на заден план.

Зловредният софтуер прилага подобен трик и към самия заключен екран, опитвайки се да заснеме и по-късно да използва повторно кода или шаблона за отключване на устройството. В комбинация с прихващане на SMS-и и известия, както и WebRTC сесии за споделяне на екрана на живо, които позволяват на оператора да наблюдава и да взаимодейства с телефона в реално време, Manic ефективно дава на атакуващите директен отдалечен контрол над устройството на жертвата.

Най-отличителната част от дизайна на Manic е начинът, по-който изнася откраднатите данни от устройството. Когато заразен телефон не може да се свърже директно със своя команден сървър, той не се отказва.

Вместо това той криптира събраните данни, съхранява ги локално и търси друг заразен телефон наблизо с помощта на Wi-Fi Direct, Bluetooth или BLE, който има достъп до интернет. Това второ устройство препраща пакета нататък, като на практика превръща обикновените заразени телефони в неволна разпределена мрежа (mesh network) за извличане на данни.

Този подход с препредаване между партньори означава, че прекъсването на интернет връзката на един телефон не е достатъчно, за да се спре изтичането на данни, стига друго компрометирано устройство да е в обхвата на радиосигнала.

Комбинацията от скрито улавяне на ПИН кодове, дълбоко поемане на контрол над устройството и самовъзстановяваща се мрежа за източване на данни прави Manic по-труден за откриване и овладяване от типичния банков троянски кон.

Продължаващото проследяване на кампанията от страна на ThreatFabric, успоредно с подобни открития от 2026 г. като NFC релейния зловреден софтуер WindRelay и имитиращия човешко поведение троянски кон Herodotus, сочи към по-широка тенденция на заплахи за Android, съчетаващи множество техники за измама в една обща платформа.

На екипите за сигурност и на обикновените потребители се препоръчва да избягват странично зареждане (sideloading) на APK файлове от неофициални източници, да проучват внимателно всяко приложение, изискващо разрешения за достъпност (Accessibility), и да поддържат Google Play Protect активен, тъй като Manic и подобни фамилии разчитат силно на тези разрешения, за да работят.