Odpojenie napadnutého telefónu od internetu môže pri mnohých infekciách prerušiť komunikáciu so serverom útočníka. Pri novom androidovom malvéri s označením Manic to však nemusí stačiť. Ak sa nedokáže spojiť s riadiacim serverom priamo, začne hľadať iné nakazené zariadenie v tesnej blízkosti a ukradnuté dáta môže odoslať cez neho. Novú rodinu škodlivého softvéru objavila holandská bezpečnostná firma ThreatFabric, o jej rozbore informoval aj web The Hacker News.
Týka sa to používateľov Androidu. Manic sleduje 169 identifikátorov aplikácií patriacich bankám, platobným službám, kryptomenovým peňaženkám a burzám, komunikačným aplikáciám, štátnym a elektronickým identifikačným službám, prehliadačom, overovacím aplikáciám a poštovým klientom.
Najväčšia časť cieľov je na Ukrajine, zoznam však siaha podstatne ďalej. ThreatFabric medzi krajinami s cieľovými bankovými aplikáciami uvádza Rusko, Poľsko, Česko, Slovensko, Rakúsko, Nemecko, Francúzsko, Španielsko, Holandsko, Estónsko, Litvu a Spojené kráľovstvo. Slovensko sa nachádza aj medzi krajinami, ktorých štátne alebo eID aplikácie sú v zozname cieľov.
To je dôležité spresnenie aj pre slovenských používateľov. Nejde teda iba o všeobecnú hrozbu pre strednú Európu. Slovensko je v pôvodnom reporte uvedené priamo. Verejne dostupná tabuľka ThreatFabric však nevymenúva názvy jednotlivých slovenských bánk alebo konkrétnych domácich aplikácií, preto z nej nemožno vyvodiť, že Manic cieli na každú banku pôsobiacu na Slovensku.
Dáta pošle cez ďalší nakazený telefón
Najnezvyčajnejšou schopnosťou Manicu je spôsob, akým si poradí s výpadkom priameho internetového spojenia. Zozbierané súbory a výsledky príkazov najprv zašifruje pomocou AES-GCM a uloží ich do miestneho radu. Potom cez Wi-Fi Direct, klasický Bluetooth RFCOMM alebo Bluetooth Low Energy s GATT hľadá ďalšie nakazené zariadenie v okolí.
Ak ho nájde, zašifrovaný balík odovzdá susednému telefónu, ktorý ho môže posunúť ďalej smerom k riadiacemu serveru útočníkov. Nemusí pritom ísť iba o dva telefóny. Novo zaradené dáta majú predvolene nastavený limit štyroch preskokov, hoci konfigurácia môže túto hodnotu zmeniť.
ThreatFabric zistil aj ďalší detail. Zariadenie s internetovým pripojením sa môže pokúsiť vytvoriť skupinu Wi-Fi Direct, ak vhodnú skupinu nenájde. Zachytené verzie používali rovnaký názov siete a vytvorenie skupiny skúšali najviac trikrát.
Ak v okolí vhodný nakazený telefón nie je, dáta zostanú uložené a Manic skúsi prenos neskôr. Praktický dôsledok je nepríjemný: samotné prerušenie priameho internetového spojenia nemusí zabrániť úniku dát, ak má telefón stále možnosť komunikovať lokálne s ďalším infikovaným zariadením.
„Bez internetu“ však neznamená, že malvér dokáže posielať dáta z úplne vypnutého zariadenia. Pre tento záložný prenos potrebuje rádiové spojenie s ďalším nakazeným telefónom cez Wi-Fi Direct alebo Bluetooth. Výnimočná je práve možnosť obísť chýbajúce priame spojenie so serverom útočníka pomocou ďalších zariadení v okolí.
PIN ukradne zo skutočnej bankovej aplikácie
Druhý trik Manicu sa týka zadávania PIN-u. Pri otvorení cieľovej aplikácie dokáže nad jej číselnú klávesnicu umiestniť priehľadnú vrstvu zachytávajúcu dotyky. Keď používateľ klepne na číslo, malvér zaznamená polohu dotyku aj prvok používateľského rozhrania nachádzajúci sa pod ním.
Vzápätí na krátky okamih vypne zachytávanie dotyku a pomocou služby Accessibility zopakuje klepnutie na rovnakom mieste. Skutočná banková aplikácia preto dostane používateľov vstup a pokračuje normálne. Manic si však medzitým PIN zaznamenal. Na rozdiel od tradičného bankového malvéru pri tomto postupe nepotrebuje používateľovi ukázať napodobeninu prihlasovacej obrazovky.
Manic má pritom viac než jeden mechanizmus súvisiaci s PIN-om. Funkcia označená ako pinPadOverlay zachytáva vstup v otvorenej cieľovej aplikácii. Ďalšia funkcia autoEnterPin sa týka uzamknutej obrazovky Androidu a dokáže skúsiť zadať už získaný kód alebo gesto. Novšie júlové verzie navyše pridali techniku určenú na získavanie tajomstva uzamknutej obrazovky.
Nejde iba po bankových údajoch
Zvyšok schopností ukazuje, prečo ThreatFabric opisuje Manic ako kombináciu bankového malvéru a špionážneho softvéru. Po získaní prístupu k službám Accessibility a oznámeniam dokáže zaznamenávať text a priradiť ho ku konkrétnej aplikácii. Rozlišuje pritom heslá, prihlasovacie údaje, štvor- až šesťmiestne kódy, možné obnovovacie frázy kryptomenových peňaženiek aj bežný text.
Dokáže tiež exportovať SMS správy, históriu hovorov, kontakty a oznámenia, získavať súbory a polohu zariadenia či vytvárať snímky obrazovky. Cez reláciu WebRTC môže útočník sledovať obrazovku a zariadenie na diaľku ovládať s využitím oprávnení služby Accessibility.
Malvér sa zároveň snaží sťažiť odhalenie. Jeden z jeho príkazov sa cez automatizáciu používateľského rozhrania pokúša vypnúť ochranu Google Play Protect. Júlová verzia navyše dokáže odstrániť ikonu samotného implantátu z launchera, takže ju používateľ medzi bežnými ikonami aplikácií nemusí vidieť.
To však neznamená, že aplikácia zmizne zo systému. Ide o skrytie z launchera, nie o neviditeľnosť vo všetkých systémových zoznamoch. Na udržanie aktivity Manic používa procesy na pozadí, alarmy a služby Accessibility a oznámení. Jednotlivé časti sa podľa analyzovanej verzie pravidelne spúšťajú približne každých 10 až 15 minút.
Vyvíjajú ho minimálne od februára
Stopy infraštruktúry Manicu siahajú podľa ThreatFabric do februára 2026. Vývojové a produkčné služby pribúdali koncom marca a v apríli a prvé zachované vzorky nosiča a samotného implantátu pochádzajú z konca mája.
Do júla sa kód ďalej menil. Aktualizovaný nosič dostal silnejšie ochrany proti bezpečnostnej analýze, načítavanie DEX kódu priamo do pamäte a nové možnosti získavania údajov z uzamknutej obrazovky. Druhé nasadenie zároveň prinieslo ďalší ovládací panel a API. ThreatFabric preto považuje Manic za malvér, ktorý je stále aktívne vyvíjaný.
Týchto šesť názvov môže byť varovaním
ThreatFabric zverejnil aj indikátory kompromitácie vrátane názvov balíkov analyzovaných vzoriek. Nosiče a implantáty sa snažia pôsobiť ako súčasti známych technologických značiek, hoci s firmami Intel, Honor, Lenovo, Apple, Motorola ani Huawei nemajú nič spoločné.
- tech.intel.dialer.updater – júlový wrapper,
- org.lenovo.storage.processor – júlový implantát,
- tech.apple.dialer.scheduler – hlavný implantát,
- io.motorola.secure.executor – ďalší implantát,
- org.honor.secure.helper – májový wrapper,
- dev.huawei.media.helper – májový implantát.
Samotný výskyt podobne znejúceho názvu samozrejme nestačí na posúdenie každej aplikácie. Uvedené názvy sú konkrétne indikátory zachytených vzoriek Manicu a nemajú nič spoločné s legitímnym softvérom menovaných výrobcov.
Čo môže používateľ urobiť
Podľa informácií zverejnených v súvislosti s kampaňou sa Manic distribuuje cez phishingové stránky a nosičové aplikácie vydávajúce sa za legitímne pomocné nástroje. Najväčším varovaním je preto požiadavka na inštaláciu APK z neznámej stránky a následná žiadosť o veľmi silné oprávnenia, najmä prístup k službám zjednodušenia ovládania a k oznámeniam.
Google odporúča ponechať službu Play Protect zapnutú a pri aplikáciách z iných zdrojov povoliť aj vylepšenú detekciu škodlivých aplikácií. Oplatí sa tiež pravidelne kontrolovať aplikácie s prístupom k službám zjednodušenia ovládania a odstrániť programy, ktoré používateľ nepozná alebo vedome neinštaloval.
Ak už existuje vážne podozrenie, že je telefón napadnutý, nie je rozumné používať ho na prihlasovanie do banky, zadávanie hesiel alebo potvrdzovanie platieb. Citlivé účty je vhodné zabezpečiť z dôveryhodného zariadenia. Ak sa škodlivý softvér nedarí odstrániť, Google medzi ďalšími možnosťami uvádza aj obnovenie zariadenia do výrobných nastavení alebo pomoc výrobcu.
Manic je zaujímavý najmä kombináciou dvoch vecí, ktoré sa pri androidovom malvéri bežne nespájajú. Dokáže získavať bankové a autentifikačné údaje priamo zo zariadenia a súčasne má záložnú cestu, ako zozbierané dáta dostať k útočníkovi cez ďalšie infikované telefóny. Práve preto samotné odpojenie od mobilných dát alebo domácej Wi-Fi nemusí byť dostatočnou reakciou.
Pre slovenského používateľa je navyše podstatné, že na rozdiel od množstva vzdialených kampaní sa tentoraz Slovensko nachádza priamo v zozname cieľových krajín ThreatFabric. Najjednoduchšou prevenciou zostáva neinštalovať neznáme APK z odkazov a podvodných stránok a mimoriadne opatrne posudzovať každú aplikáciu, ktorá žiada prístup k službám Accessibility či k oznámeniam.
Ak by už došlo k zneužitiu bankového účtu, samostatnou otázkou je zodpovednosť za uskutočnené transakcie. Vysvetľujeme ju v texte o tom, kedy vám banka vráti peniaze po podvode a kedy môže náhradu odmietnuť.
