Una nuova famiglia di malware Android sorveglia 169 applicazioni fra banche, servizi di identit� digitale, portafogli di criptovalute e messaggistica, con il baricentro sull’Ucraina. Si chiama Manic e l’analisi tecnica arriva da ThreatFabric, che ne segue l’infrastruttura da febbraio 2026. Quando il telefono infetto non riesce a raggiungere il server di comando e controllo, Manic fa uscire lo stesso i dati raccolti: li spinge verso altri dispositivi gi� compromessi che si trovino nel raggio del Wi-Fi o del Bluetooth, e da l� verso l’infrastruttura degli operatori.
Fra le applicazioni sorvegliate ci sono banche ucraine e russe, istituti di Polonia, Repubblica Ceca, Slovacchia, Austria, Germania, Francia, Spagna, Paesi Bassi, Estonia, Lituania e Regno Unito, servizi di pagamento fra privati, exchange e wallet di criptovalute, app di autenticazione a due fattori e applicazioni statali di identit� digitale di sette paesi. Accanto ai bersagli finanziari compaiono messaggistica commerciale e a uso militare, browser e client di posta. La lista mette insieme due mestieri che di solito restano separati: la frode bancaria da un lato, dall’altro la sorveglianza vera e propria, visto che il malware traccia la posizione, legge le notifiche, raccoglie file e osserva il dispositivo da remoto.
La consegna passa per un’app-contenitore che installa il modulo vero e proprio, e i nomi dei pacchetti imitano componenti di sistema di produttori noti: tech.intel.dialer.updater per il contenitore di luglio, org.lenovo.storage.processor e dev.huawei.media.helper per i moduli installati. La versione di luglio ha aggiunto controlli anti-analisi pi� severi e il caricamento del codice DEX direttamente in memoria. Nella stessa build il modulo sparisce dall’elenco delle app installate e si attiva soltanto tramite il contenitore o un deep link.
Il PIN catturato dalla tastiera legittima
La tecnica che ThreatFabric chiama pinPadOverlay rinuncia alla finta schermata bancaria che caratterizza gli attacchi overlay classici. Quando il malware individua un tastierino numerico dentro un’app bersaglio, ci sovrappone un livello trasparente che copre soltanto l’area occupata dai tasti. Ogni tocco della vittima viene registrato con la posizione esatta e l’elemento di interfaccia pi� vicino, poi Manic disattiva per un istante l’intercettazione e riproduce lo stesso tocco alle medesime coordinate attraverso i servizi di accessibilit�, cos� che l’app legittima riceva l’input e prosegua senza anomalie visibili.
Una seconda funzione, autoEnterPin, lavora invece sulla schermata di blocco di Android e prova a inserire una credenziale o una sequenza gi� memorizzate, il che significa accesso a un telefono bloccato per chi siede dall’altra parte. A monte di entrambe c’� l’abuso dei servizi di accessibilit� come registratore di tutto ci� che viene digitato. ThreatFabric spiega che il malware classifica il testo catturato prima di registrarlo, distinguendo l’input della schermata di blocco, le probabili frasi di recupero dei wallet, i codici SMS da quattro a sei cifre, le password, i messaggi lunghi, le credenziali di posta e il testo ordinario; ogni voce porta con s� l’app di provenienza, l’orario, l’indicazione se il testo arrivi dal riempimento automatico o dalla digitazione manuale e se l’app sia nella lista dei bersagli.
Sopra questo strato di raccolta si innesta il controllo remoto interattivo. L’operatore pu� aprire una sessione WebRTC e guardare lo schermo o la fotocamera frontale in diretta, agendo sul dispositivo tramite i medesimi privilegi di accessibilit�, mentre schermate nere, finte o di finto aggiornamento coprono l’attivit� e nascondono anche le richieste di permesso. L’elenco dei comandi accettati dal bot comprende l’esportazione di SMS, registro chiamate, contatti, notifiche e app installate, l’invio di messaggi a numeri scelti dall’operatore, l’esecuzione di codici USSD, il blocco dello schermo e un tentativo di disattivare Google Play Protect pilotando l’interfaccia. Un comando di reimpostazione della password � rimasto nel codice ma restituisce un rifiuto esplicito, perch� la logica di amministrazione del dispositivo che serviva a eseguirlo � stata rimossa.
La coda che esce dal telefono isolato
Il meccanismo di esfiltrazione pi� insolito accumula e inoltra. File raccolti e risultati dei comandi vengono cifrati con AES-GCM e messi in una coda locale, che resta l� finch� il dispositivo di origine non trova una via d’uscita. A quel punto Manic cerca altri telefoni infetti nelle vicinanze usando Wi-Fi Direct, Bluetooth RFCOMM o BLE GATT: prima prova con un contatto Wi-Fi Direct gi� stabilito, poi interroga i dispositivi Bluetooth e BLE per capire quale di loro abbia connettivit�. Se ne trova uno adatto, gli passa il pacchetto cifrato, che prosegue verso il server di comando anche attraverso pi� passaggi intermedi, con un tetto predefinito di quattro salti.
ThreatFabric precisa che un dispositivo connesso pu� anche creare da s� un gruppo Wi-Fi Direct quando non trova nessun altro nodo, che tutte le build conservate usano lo stesso nome di rete e che il tentativo di creare il gruppo si ripete fino a tre volte. La conseguenza pratica riguarda chiunque si affidi all’isolamento come misura di emergenza: togliere la connessione a un telefono compromesso non ne ferma l’esfiltrazione, se un altro telefono infetto si trova a portata di radio. La sincronizzazione della coda passa dagli stessi componenti che garantiscono la persistenza, cio� processi in background, sveglie di sistema e i servizi di accessibilit� e notifica, con esecuzione periodica ogni dieci-quindici minuti a seconda della build.
La cronologia ricostruita da ThreatFabric parte a febbraio 2026 con la registrazione della prima infrastruttura, prosegue con i servizi di sviluppo e produzione fra fine marzo e aprile e con la comparsa del primo contenitore a fine maggio. Fra fine giugno e met� luglio l’ambiente di sviluppo iniziale � stato progressivamente abbandonato, mentre intorno al 13 luglio compariva un secondo impianto operativo, seguito fra il 24 e il 28 luglio da un nuovo pannello di controllo e dalla relativa API. Gli indicatori di compromissione, con gli hash e i nomi dei pacchetti, sono pubblicati in appendice al rapporto; sul fronte delle contromisure restano le solite due, cio� non installare APK fuori dai canali ufficiali e non concedere i permessi di accessibilit� ad applicazioni che non abbiano un motivo evidente per chiederli.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
