Manic: Android-Malware baut Mesh-Netzwerk auf, um Daten auch offline zu stehlen

Eine Android-Bedrohung in aktiver Entwicklung

Eine neue Android-Malware namens Manic ist seit mindestens Februar 2026 aktiv und kombiniert Funktionen eines Banking-Trojaners, einer Spyware und einer Device-Takeover-Plattform (DTO). ThreatFabric veröffentlichte die Analyse am 20. August 2026. Ein im Juli 2026 beobachteter Build zeigte, dass die Entwicklung noch andauerte.

Die Bedrohung zielt vor allem auf die Ukraine. Dort nimmt sie Banken, staatliche Dienste, digitale Identitätsanwendungen und mit dem Militärsektor verbundene Kommunikationstools ins Visier. Die Kampagne betrifft jedoch auch russische und europäische Finanzinstitute, Fintech-Dienste und globale Kryptowährungsplattformen.

Manic überwacht 169 Android-Anwendungen. Dazu gehören Banking- und Zahlungs-Apps, Krypto-Börsen und Wallets, eID-Dienste, Tools für die Zwei-Faktor-Authentifizierung, Messenger, Browser und E-Mail-Clients.

Diese große Bandbreite ermöglicht es den Betreibern, Finanzdaten, Kommunikation, Standortinformationen, Dateien und Zugangsdaten auf demselben Gerät zusammenzuführen. Das Ergebnis ist nicht nur finanzieller Diebstahl: Das Smartphone kann zu einer Quelle persönlicher, operativer und potenziell strategischer Informationen werden.

Barrierefreiheitsdienste als Überwachungsinstrument

Nach der Installation fordert Manic Zugriff auf die Android-Barrierefreiheitsdienste und auf Benachrichtigungen an. Die erste Berechtigung dient dazu, die Benutzeroberfläche zu überwachen und Eingaben sowie angezeigte Inhalte abzufangen.

Die Malware zeichnet nicht zwangsläufig jedes Zeichen unterschiedslos auf. Stattdessen klassifiziert sie die erfassten Inhalte und unterscheidet zwischen Eingaben auf dem Sperrbildschirm, Passwörtern, längeren Nachrichten, gewöhnlichem Text, vier- bis sechsstelligen SMS-Codes und möglichen Wiederherstellungsphrasen von Wallets.

Jedes Ereignis kann folgende Daten enthalten:

• Name und Package der Anwendung;
• abgefangener Text;
• Zeitstempel;
• Hinweis darauf, ob Autofill oder eine manuelle Eingabe verwendet wurde;
• Angabe, ob die App in der von den Betreibern konfigurierten Zielliste enthalten ist.

Die Benachrichtigungsberechtigung erweitert den Zugriff auf Einmalcodes, Nachrichten und von Anwendungen erzeugte Warnungen. Zusammengenommen können Barrierefreiheit und Benachrichtigungen daher auch Systeme kompromittieren, die eine zusätzliche Authentifizierungsebene einsetzen.

Die überwachte Liste umfasst außerdem Messenger, Browser und E-Mail-Anwendungen. Angreifer können dadurch Bankzugangsdaten mit Unterhaltungen, E-Mail-Konten, Browserdaten und auf demselben Smartphone vorhandenen digitalen Identitätsdiensten verknüpfen.

Banking-PINs, gefälschte Bildschirme und Fernsteuerung

Manic fängt Banking-PINs mit einer anderen Technik ab als durch ein einfaches betrügerisches Overlay. Erkennt die Malware in einer Zielanwendung ein numerisches Tastenfeld, legt sie eine unsichtbare Ebene über die Tasten und zeichnet die Eingaben auf.

Nach einer kurzen Verarbeitung leitet die Malware die Berührungen über die Barrierefreiheitsfunktionen an das echte Tastenfeld weiter. Die Banking-App kann dadurch normal funktionieren, während der Nutzer nicht unbedingt Auffälligkeiten bemerkt.

Die Funktion autoEnterPin kann versuchen, eine zuvor gespeicherte PIN oder Sequenz in den Android-Sperrbildschirm einzugeben. Das Vorgehen ist unmittelbar:

1. Manic erfasst die PIN während der Nutzung einer Banking-App;
2. speichert die Information;
3. versucht später, damit das Gerät zu entsperren.

Der zuletzt beobachtete Build enthält außerdem das sogenannte Lock-Secret-Phishing. Die Malware zeigt vor dem echten Sperrbildschirm eine gefälschte Ansicht an und bringt das Opfer dazu, eine PIN oder ein Muster einzugeben.

Nach Erteilung der erforderlichen Berechtigungen können die Betreiber das Gerät über WebRTC steuern, den Bildschirm anzeigen und über die Barrierefreiheitsdienste mit der Benutzeroberfläche interagieren. Um die Aktivitäten zu verbergen, kann Manic schwarze Bildschirme, gefälschte Updates, getarnte Berechtigungsanfragen oder speziell erstellte Ansichten anzeigen.

Die Anwendung kann außerdem ihr eigenes Symbol aus dem Android-Launcher entfernen. Sie erscheint dann nicht mehr in der normalen App-Liste, bleibt jedoch über einen Wrapper oder einen Deep Link aktivierbar.

Die Exfiltration läuft auch ohne Internet weiter

Besonders ungewöhnlich an Manic ist der Store-and-Forward-Mechanismus zur Datenübertragung. Dateien und Befehlsausgaben werden mit AES-GCM verschlüsselt und in eine lokale Warteschlange aufgenommen.

Kann sich das Smartphone nicht direkt mit dem Command-and-Control-Server verbinden, sucht die Malware nach anderen infizierten Geräten in der Nähe. Diese können als Relays dienen und die Daten später an die Infrastruktur der Angreifer weiterleiten.

Die Kommunikation zwischen den Geräten kann folgende Technologien nutzen:

• Wi‑Fi Direct;
• Bluetooth RFCOMM;
• BLE GATT.

Die Übertragungskette kann vier Hops umfassen. Informationen können somit über mehrere kompromittierte Smartphones weitergereicht werden, bevor sie den entfernten Server erreichen.

Dadurch entsteht ein opportunistisches Mesh-Netzwerk, das aus den Geräten der Opfer aufgebaut wird. Die Internetverbindung des einzelnen Smartphones zu deaktivieren, garantiert daher nicht, dass die Exfiltration unterbrochen wird: Ein anderes infiziertes Gerät in Funkreichweite kann die Daten empfangen und anstelle des ursprünglichen Geräts übertragen.

Dieses Modell ist besonders in Umgebungen relevant, in denen die Konnektivität eingeschränkt oder absichtlich unterbrochen wird. Das Gerät kann weiterhin Informationen sammeln, lokal speichern und übertragen, sobald es auf ein verfügbares Relay trifft.

Technische Weiterentwicklung und Hinweise zur Abwehr

Die mit Manic verbundene Infrastruktur soll seit Februar 2026 registriert sein. Entwicklungs- und Produktionsdienste sollen zwischen Ende März und April 2026 in Betrieb genommen worden sein.

Der im Juli 2026 analysierte Build verfügte über fortschrittlichere Anti-Analyse-Mechanismen und lud DEX-Dateien direkt in den Arbeitsspeicher. Diese Technik kann die statische Analyse erschweren und die auf dem Dateisystem des Geräts hinterlassenen Artefakte reduzieren.

Bestimmte verwundbare Android-Versionen oder eine einzelne für die Infektion verantwortliche Anwendung wurden nicht genannt. Das Risiko betrifft Nutzer, die Manic installieren, sowie die auf dem Gerät verwendeten Konten: Banken, Wallets, E-Mail-Dienste, eID-Dienste, 2FA-Anwendungen und Kommunikationstools können gemeinsam kompromittiert werden.

Zu den zu überprüfenden Verhaltensindikatoren gehören:

• unerwartete Erteilung der Berechtigung für Barrierefreiheitsdienste;
• ungewöhnliche Anfragen nach PINs, Mustern oder anderen Entsperrdaten;
• Anwendungen, die aus dem Launcher verschwinden, aber weiterhin gestartet werden können;
• nicht durch Dateiübertragungen erklärbare Bluetooth- oder Wi‑Fi-Direct-Verbindungen;
• verdächtige, zeitgleich auftretende Aktivitäten bei Banken, Wallets, 2FA-Apps und eID-Diensten;
• schwarze Bildschirme, gefälschte Updates oder Berechtigungsanfragen zu ungewöhnlichen Zeitpunkten.

Das bloße Blockieren des Internetzugangs reicht nicht aus. Die Abwehr sollte auch die Überprüfung der Berechtigungen für Barrierefreiheitsdienste, die Kontrolle lokaler Funkverbindungen und die Analyse der Anwendungen umfassen, die Benachrichtigungen lesen oder mit der Benutzeroberfläche interagieren dürfen.

Wer eine Kompromittierung vermutet, sollte verdächtige Berechtigungen widerrufen, das Gerät von Netzwerken isolieren und die Konten von einem vertrauenswürdigen Gerät aus überprüfen. Außerdem sollten Banktransaktionen, aktive Sitzungen, Wallets und Wiederherstellungscodes kontrolliert werden. Betroffene Versionen und ein öffentlich verfügbares, spezifisches Entfernungsverfahren sind bislang nicht bekannt.