I ricercatori di sicurezza hanno scoperto una variante di malware Android che combina frode bancaria, sorveglianza e controllo remoto di dispositivi con un metodo insolito per spostare informazioni rubate tra smartphone contaminati.
Chiamato Manic dai ricercatori di ThreatFabric , il malware prende di mira 169 applicazioni che spaziano dal settore bancario, servizi di pagamento, piattaforme e portafogli di criptovalute, servizi di messaggistica, applicazioni governative, autenticatori, browser e client email. Il suo obiettivo principale è l’Ucraina, anche se la sua lista di obiettivi comprende anche istituzioni finanziarie russe ed europee, servizi internazionali fintech e di criptovalute, e comunicazioni a orientamento militare.
Una volta che Manic ottiene i permessi di Servizio di Accessibilità e notifiche, i suoi operatori potranno ottenere un accesso esteso al dispositivo Android compromesso. Il malware può raccogliere password, codici di autenticazione monouso e frasi di recupero delle criptovalute, monitorando anche i messaggi di testo.
Manic può abusare di sovrapposizioni e schermate ingannevoli quando le vittime utilizzano applicazioni bancarie mirate o di criptovalute. Queste tecniche gli permettono di nascondere attività malevole e catturare informazioni inserite tramite tastiere a schermo. L’abuso dei servizi di accessibilità Android consente inoltre agli aggressori di osservare ciò che viene visualizzato sullo schermo e di interagire remotamente con il dispositivo.
ThreatFabric ha scoperto che Manic può catturare informazioni associate ai metodi utilizzati per sbloccare un telefono, inclusi PIN, password, schemi, impronte digitali e riconoscimento facciale. I ricercatori descrivono il malware come una combinazione di funzionalità associate alle minacce bancarie Android con capacità spyware più ampie.
Una delle capacità più distintive di Manic riguarda il modo in cui esfiltra le informazioni. File e dati rubati vengono criptati tramite AES-GCM e memorizzati in una coda locale mentre il malware cerca un percorso verso la sua infrastruttura di comando e controllo.
Un telefono compromesso non ha necessariamente bisogno di una propria connessione internet per fornire tali informazioni. Manic può trasferire dati in coda su un altro dispositivo Android infetto situato nelle vicinanze, utilizzando Wi-Fi Direct o Bluetooth. Quel secondo dispositivo può poi agire come relè e inoltrare le informazioni rubate verso infrastrutture controllate dagli attaccanti.
Se non è disponibile né una connessione diretta né un altro dispositivo infetto adatto, Manic mantiene i dati criptati in coda e tenta di trasmettere nuovamente in seguito.
Questa capacità significa che disconnettere uno smartphone infetto da internet da solo potrebbe non essere sufficiente a impedire che le informazioni escano dal dispositivo. Se un altro telefono infetto da Manic si trova nel raggio wireless, il malware potrebbe comunque avere una via alternativa per trasmettere informazioni rubate.
I ricercatori non hanno identificato Manic sul Google Play Store. Il malware quindi rafforza i rischi associati all’installazione di file APK Android ottenuti tramite siti web non affidabili o altre fonti di distribuzione non ufficiali.