Wprowadzenie do problemu / definicja
Manic to zaawansowane złośliwe oprogramowanie dla systemu Android, które łączy funkcje trojana bankowego, spyware oraz narzędzia do przejęcia urządzenia. Jego najbardziej niepokojącą cechą jest zdolność do wyprowadzania danych nawet wtedy, gdy zainfekowany smartfon nie ma bezpośredniego połączenia z Internetem. To istotna zmiana w krajobrazie zagrożeń mobilnych, ponieważ tradycyjna izolacja urządzenia od sieci może nie wystarczyć do zatrzymania wycieku informacji.
W skrócie
Manic działa co najmniej od lutego 2026 roku i jest ukierunkowany na szeroki wachlarz aplikacji mobilnych, w tym bankowość, płatności, komunikatory, portfele kryptowalut, rozwiązania tożsamości cyfrowej oraz narzędzia 2FA. Po uzyskaniu uprawnień dostępności i dostępu do powiadomień malware może przechwytywać dane wpisywane przez użytkownika, odczytywać kody uwierzytelniające, zbierać pliki oraz wspierać zdalne sterowanie urządzeniem.
- kradnie loginy, hasła i kody jednorazowe,
- monitoruje aktywność w wielu aplikacjach jednocześnie,
- umożliwia przejęcie PIN-u i wzoru blokady,
- wspiera zdalną kontrolę nad smartfonem,
- przekazuje dane przez inne zainfekowane urządzenia za pomocą Bluetooth i Wi‑Fi Direct.
Kontekst / historia
Według dostępnych informacji infrastruktura związana z Manic zaczęła pojawiać się w lutym 2026 roku, a kolejne warianty były rozwijane w następnych miesiącach. W lipcu 2026 roku badacze zaobserwowali nowsze wersje wyposażone w silniejsze mechanizmy antyanalizy, ładowanie komponentów DEX bezpośrednio do pamięci oraz funkcje nastawione na przechwytywanie kodu PIN i wzoru odblokowania ekranu.
Kampania wydaje się silnie ukierunkowana na użytkowników w Ukrainie, jednak katalog obserwowanych celów wskazuje, że operatorzy interesują się także podmiotami finansowymi, usługami cyfrowymi, globalnymi fintechami, giełdami kryptowalut i komunikatorami. Taki profil ofiar sugeruje, że Manic nie jest jedynie klasycznym trojanem bankowym, ale bardziej kompleksową platformą do przejmowania tożsamości oraz urządzeń mobilnych.
Analiza techniczna
Po instalacji Manic dąży do uzyskania uprawnień Accessibility Service oraz Notification Access. To właśnie te mechanizmy pozwalają mu obserwować interfejs użytkownika, odczytywać zawartość pól, symulować działania, nakładać niewidoczne warstwy na ekran i przechwytywać interakcje z klawiaturą ekranową.
Malware działa jak keylogger interfejsu i klasyfikuje przechwytywane dane według ich znaczenia operacyjnego. Obejmuje to między innymi dane wpisywane na ekranie blokady, potencjalne frazy odzyskiwania portfeli kryptowalut, kody SMS, hasła, loginy pocztowe, dłuższe wiadomości tekstowe i inne treści z monitorowanych aplikacji.
Szczególnie groźna jest metoda przechwytywania PIN-u. Zamiast stosować jedynie fałszywe formularze logowania, Manic potrafi wykrywać klawiaturę numeryczną w wybranych aplikacjach i umieszczać nad nią niewidoczną warstwę. Dotknięcia użytkownika są rejestrowane przez malware, a następnie przekazywane do prawdziwego interfejsu aplikacji, dzięki czemu ofiara nie zauważa nieprawidłowości.
W praktyce pozwala to atakującym nie tylko kraść poświadczenia, ale także przygotować scenariusz pełnego przejęcia urządzenia. Dodatkowy komponent może wykorzystywać zapisany PIN lub wzór do późniejszego odblokowania smartfona, co znacząco zwiększa wartość operacyjną infekcji.
Manic obsługuje również zdalne sterowanie z wykorzystaniem WebRTC. Taki moduł może umożliwiać operatorowi podgląd ekranu ofiary i wykonywanie działań za pośrednictwem usług dostępności. Aby utrudnić wykrycie, malware potrafi maskować swoje aktywności poprzez czarne ekrany, fałszywe komunikaty i symulowanie aktualizacji.
Najbardziej charakterystyczną cechą jest jednak mechanizm offline relay. Zebrane dane są szyfrowane, zapisywane lokalnie i następnie przekazywane do innego pobliskiego zainfekowanego urządzenia. W tym celu Manic wykorzystuje Wi‑Fi Direct, Bluetooth RFCOMM lub BLE GATT. Oznacza to, że smartfon bez aktywnego połączenia z Internetem nadal może uczestniczyć w eksfiltracji danych jako element łańcucha przekaźników.
Konsekwencje / ryzyko
Ryzyko związane z Manic jest bardzo wysokie zarówno dla użytkowników prywatnych, jak i dla organizacji korzystających z urządzeń mobilnych w dostępie do zasobów biznesowych. W przypadku osób indywidualnych skutkiem może być przejęcie rachunków bankowych, portfeli kryptowalut, skrzynek pocztowych i komunikatorów.
Dla firm zagrożenie wykracza poza samą kradzież danych z telefonu. Możliwe są także przejęcie kont uprzywilejowanych, wyciek danych służbowych, kompromitacja kodów MFA oraz wykorzystanie informacji z urządzenia mobilnego do dalszych ataków na środowisko korporacyjne.
- kradzież poświadczeń i kodów uwierzytelniających,
- monitorowanie ekranu i aktywności użytkownika,
- zdalne sterowanie urządzeniem,
- ukrywanie aktywności przed ofiarą,
- eksfiltracja danych bez bezpośredniej łączności z Internetem.
Z perspektywy zespołów bezpieczeństwa oznacza to, że standardowe wskaźniki kompromitacji, takie jak nietypowe połączenia C2 z pojedynczego urządzenia, mogą nie wystarczyć. Jeśli ruch i dane są przekazywane pośrednio przez inne zainfekowane telefony, wykrycie incydentu staje się znacznie trudniejsze.
Rekomendacje
Przypadek Manic pokazuje, że bezpieczeństwo mobilne musi obejmować nie tylko ochronę aplikacji bankowych, ale całego środowiska tożsamości, komunikacji i uwierzytelniania. Zarówno użytkownicy, jak i organizacje powinni wdrożyć dodatkowe środki kontroli.
- ograniczać instalację aplikacji spoza zaufanych źródeł,
- monitorować nadawanie uprawnień Accessibility Service i Notification Access,
- analizować nietypowe użycie Bluetooth, BLE i Wi‑Fi Direct,
- wdrażać rozwiązania MTD lub mobilne EDR,
- stosować silne metody uwierzytelniania odporne na przechwycenie kodów SMS,
- segmentować dostęp mobilny do zasobów firmowych,
- szkolić użytkowników w zakresie fałszywych ekranów i podejrzanych próśb o uprawnienia,
- uwzględniać bezpieczeństwo urządzeń w politykach BYOD.
W reakcji na incydent nie należy zakładać, że samo odłączenie telefonu od Internetu zatrzyma wyciek danych. Konieczne jest zabezpieczenie urządzenia, analiza przyznanych uprawnień, identyfikacja aplikacji odpowiedzialnej za infekcję oraz ocena, jakie poświadczenia mogły zostać przejęte. W wielu przypadkach uzasadnione będzie także unieważnienie sesji, reset haseł i ponowne wystawienie tokenów uwierzytelniających.
Podsumowanie
Manic to przykład nowej generacji mobilnego malware, który wykracza daleko poza schemat prostego trojana bankowego. Połączenie przechwytywania PIN-u, keyloggera interfejsu, monitoringu ekranu, zdalnego sterowania i przekaźnikowej eksfiltracji offline znacząco podnosi poziom zagrożenia. Dla specjalistów bezpieczeństwa to wyraźny sygnał, że ochrona Androida musi obejmować kontrolę uprawnień systemowych, analizę zachowań radiowych i korelację zdarzeń między wieloma urządzeniami.