Manic, il malware Android che crea una rete mesh per rubare dati anche offline

Una minaccia Android ancora in sviluppo

Un nuovo malware Android chiamato Manic è attivo almeno da febbraio 2026 e combina funzioni da trojan bancario, spyware e piattaforma di Device Takeover (DTO). L’analisi di ThreatFabric è stata pubblicata il 20 agosto 2026; una build osservata a luglio 2026 mostrava che lo sviluppo era ancora in corso.

La minaccia punta soprattutto all’Ucraina, dove prende di mira banche, servizi governativi, applicazioni di identità digitale e strumenti di comunicazione legati al settore militare. La campagna coinvolge però anche istituzioni finanziarie russe ed europee, servizi fintech e piattaforme globali per criptovalute.

Manic controlla 169 applicazioni Android. L’elenco comprende app bancarie e di pagamento, exchange e wallet crypto, servizi eID, strumenti per l’autenticazione a due fattori, messaggistica, browser e client di posta elettronica.

Questa ampiezza consente agli operatori di unire sullo stesso dispositivo dati finanziari, comunicazioni, posizione, file e credenziali. Il risultato non è soltanto il furto di denaro: il telefono può diventare una fonte di informazioni personali, operative e potenzialmente strategiche.

Permessi di Accessibilità trasformati in sorveglianza

Dopo l’installazione, Manic chiede l’accesso ai servizi Android di Accessibilità e alle notifiche. Il primo viene utilizzato per osservare l’interfaccia e intercettare ciò che l’utente digita o visualizza.

Il malware non registra necessariamente ogni carattere senza distinzione. Classifica invece i contenuti raccolti, separando input della schermata di blocco, password, messaggi lunghi, testo ordinario, codici SMS composti da quattro a sei cifre e possibili frasi di recupero dei wallet.

Ogni evento può contenere:

• nome e package dell’applicazione;
• testo intercettato;
• timestamp;
• indicazione sull’uso di Autofill o dell’inserimento manuale;
• presenza dell’app nella lista dei bersagli configurata dagli operatori.

Il permesso alle notifiche amplia la visibilità su codici temporanei, messaggi e avvisi generati dalle applicazioni. Insieme, Accessibilità e notifiche possono quindi compromettere anche sistemi che aggiungono un secondo fattore all’autenticazione.

La lista monitorata comprende inoltre applicazioni di messaggistica, browser ed email. Gli aggressori possono così collegare una credenziale bancaria a conversazioni, account di posta, dati di navigazione e servizi di identità digitale presenti sullo stesso telefono.

PIN bancari, schermate contraffatte e controllo remoto

Manic intercetta i PIN bancari con una tecnica diversa dal semplice overlay fraudolento. Quando rileva un tastierino numerico in un’app bersaglio, posiziona uno strato invisibile sopra i tasti e registra le pressioni.

Dopo una breve elaborazione, il malware inoltra i tocchi al tastierino autentico attraverso le funzioni di Accessibilità. L’app bancaria può quindi continuare a funzionare normalmente, mentre l’utente non vede necessariamente anomalie.

La funzione denominata autoEnterPin può tentare di inserire nel lock screen Android un PIN o una sequenza già memorizzata. Lo scenario operativo è diretto:

1. Manic cattura il PIN durante l’uso di una banca;
2. conserva l’informazione;
3. prova successivamente a utilizzarla per sbloccare il dispositivo.

La build più recente osservata include anche il cosiddetto lock-secret phishing. Il malware mostra una schermata contraffatta prima della schermata reale di blocco e induce la vittima a digitare un PIN o un pattern.

Una volta ottenuti i permessi necessari, gli operatori possono controllare il dispositivo tramite WebRTC, visualizzando lo schermo e interagendo con l’interfaccia attraverso Accessibilità. Per nascondere l’attività, Manic può mostrare schermate nere, falsi aggiornamenti, richieste di autorizzazione mascherate o schermate costruite ad hoc.

L’applicazione può inoltre rimuovere la propria icona dal launcher Android. Non compare quindi nell’elenco ordinario delle app, pur restando attivabile tramite un wrapper o un deep link.

L’esfiltrazione continua anche senza Internet

L’aspetto più insolito di Manic è il meccanismo di trasferimento store-and-forward. File e risultati dei comandi vengono cifrati con AES-GCM e inseriti in una coda locale.

Se il telefono non può collegarsi direttamente al server di comando e controllo, il malware cerca altri dispositivi infetti nelle vicinanze. Questi possono fungere da relay e inoltrare successivamente i dati verso l’infrastruttura degli aggressori.

La comunicazione tra dispositivi può utilizzare:

• Wi‑Fi Direct;
• Bluetooth RFCOMM;
• BLE GATT.

La catena può raggiungere quattro hop. In pratica, le informazioni possono passare attraverso diversi telefoni compromessi prima di arrivare al server remoto.

Questo comportamento crea una rete mesh opportunistica costruita con i dispositivi delle vittime. Disattivare la connessione Internet sul singolo telefono, quindi, non garantisce l’interruzione dell’esfiltrazione: un altro dispositivo infetto entro la portata radio può ricevere i dati e trasmetterli al posto del primo.

Il modello è particolarmente rilevante in ambienti dove la connettività è limitata o deliberatamente interrotta. Il dispositivo può continuare a raccogliere informazioni, conservarle localmente e trasferirle quando incontra un relay disponibile.

Evoluzione tecnica e indicazioni per la difesa

L’infrastruttura associata a Manic risulta registrata a partire da febbraio 2026. I servizi di sviluppo e produzione sarebbero comparsi tra la fine di marzo 2026 e aprile 2026.

La build analizzata a luglio 2026 comprendeva controlli anti-analisi più avanzati e il caricamento dei file DEX direttamente in memoria. Quest’ultima tecnica può complicare l’analisi statica e ridurre gli artefatti lasciati sul filesystem del dispositivo.

Non sono indicate versioni specifiche di Android vulnerabili né una singola applicazione responsabile dell’infezione. Il rischio riguarda gli utenti che installano Manic e gli account utilizzati sul dispositivo: banche, wallet, email, servizi eID, applicazioni 2FA e strumenti di comunicazione possono essere compromessi insieme.

Gli indicatori comportamentali da verificare includono:

• concessioni inattese del permesso di Accessibilità;
• richieste anomale di PIN, pattern o altre credenziali di sblocco;
• applicazioni che spariscono dal launcher ma restano attivabili;
• connessioni Bluetooth o Wi‑Fi Direct non giustificate da trasferimenti di file;
• attività sospette e correlate su banche, wallet, app 2FA e servizi eID;
• schermate nere, falsi aggiornamenti o richieste di autorizzazione visualizzate in momenti insoliti.

Il semplice blocco dell’accesso a Internet non basta. La difesa deve includere la revisione dei permessi di Accessibilità, il controllo delle comunicazioni radio locali e l’analisi delle applicazioni autorizzate a leggere notifiche o interagire con l’interfaccia.

Chi sospetta una compromissione dovrebbe revocare i permessi anomali, isolare il dispositivo dalle reti e verificare gli account da un dispositivo affidabile. È inoltre necessario controllare movimenti bancari, sessioni attive, wallet e codici di recupero. Le versioni interessate e una procedura pubblica di rimozione specifica non sono note.