Investigadores de seguridad han descubierto una cepa de malware Android que combina fraude bancario, vigilancia y control remoto de dispositivos con un método poco común para mover información robada entre smartphones infectados.
Nombrado Manic por investigadores de ThreatFabric , el malware abarca 169 aplicaciones que abarcan banca, servicios de pago, plataformas y monederos de criptomonedas, servicios de mensajería, aplicaciones gubernamentales, autenticadores, navegadores y clientes de correo electrónico. Su enfoque principal es Ucrania, aunque su lista de objetivos también abarca instituciones financieras rusas y europeas, servicios internacionales fintech y de criptomonedas, y comunicaciones orientadas al ámbito militar.
Una vez que Manic obtiene permisos de Servicio de Accesibilidad y notificaciones, sus operadores podrán acceder extensamente al dispositivo Android comprometido. El malware puede recopilar contraseñas, códigos de autenticación de un solo uso y frases de recuperación de criptomonedas, además de monitorizar mensajes de texto.
Manic puede abusar de superposiciones y pantallas engañosas cuando las víctimas utilizan aplicaciones bancarias o de criptomonedas dirigidas. Estas técnicas le permiten ocultar actividades maliciosas y capturar información introducida a través de teclados en pantalla. El abuso de los servicios de accesibilidad Android también permite a los atacantes observar lo que se muestra en pantalla e interactuar remotamente con el dispositivo.
ThreatFabric descubrió que Manic puede capturar información asociada a métodos usados para desbloquear un teléfono, incluyendo PINs, contraseñas, patrones, huellas dactilares y reconocimiento facial. Los investigadores caracterizan el malware como una combinación de funcionalidades asociadas a las amenazas bancarias de Android con capacidades de spyware más amplias.
Una de las capacidades más distintivas de Manic tiene que ver con cómo exfiltra información. Los archivos y datos robados se cifran usando AES-GCM y se almacenan en una cola local mientras el malware busca una ruta hacia su infraestructura de mando y control.
Un teléfono comprometido no necesita necesariamente su propia conexión a internet para entregar esa información. Manic puede transferir datos en cola a otro dispositivo Android infectado situado cerca usando Wi-Fi Direct o Bluetooth. Ese segundo dispositivo puede entonces actuar como relé y reenviar la información robada a la infraestructura controlada por los atacantes.
Si no hay conexión directa ni otro dispositivo infectado adecuado disponible, Manic mantiene los datos cifrados en cola e intenta transmitir de nuevo más adelante.
Esta capacidad significa que desconectar un smartphone infectado de internet por sí solo puede no ser suficiente para evitar que la información salga del dispositivo. Si otro teléfono infectado por Manic está dentro del alcance inalámbrico, el malware aún podría tener una ruta alternativa para transmitir información robada.
Los investigadores no han identificado a Manic en la Google Play Store. Por tanto, el malware refuerza los riesgos asociados a la instalación de archivos APK de Android obtenidos a través de sitios web no confiables u otras fuentes de distribución no oficiales.