Beveiligingsonderzoekers hebben een Android-malwarevariant ontdekt die bankfraude, surveillance en afstandsbediening van apparaten combineert met een ongebruikelijke methode om gestolen informatie tussen geïnfecteerde smartphones te verplaatsen.
Door onderzoekers van ThreatFabric de malware Manic genoemd, richt de malware zich op 169 applicaties, waaronder bankieren, betaaldiensten, cryptoplatforms en portemonnees, berichtendiensten, overheidsapplicaties, authenticators, browsers en e-mailclients. De primaire focus ligt op Oekraïne, hoewel de doelgroep ook Russische en Europese financiële instellingen, internationale fintech- en cryptodiensten en militair gerichte communicatie omvat.
Zodra Manic Accessibility Service en meldingsrechten heeft verkregen, kunnen de operators uitgebreide toegang krijgen tot het gecompromitteerde Android-apparaat. De malware kan wachtwoorden, eenmalige authenticatiecodes en cryptocurrency-herstelzinnen verzamelen, terwijl het ook tekstberichten monitort.
Manic kan overlays en misleidende schermen misbruiken wanneer slachtoffers gerichte bank- of cryptocurrency-applicaties gebruiken. Deze technieken stellen het in staat kwaadaardige activiteiten te verbergen en informatie vast te leggen die via toetsenborden op het scherm wordt ingevoerd. Het misbruik van Android Accessibility Services stelt aanvallers bovendien in staat te zien wat er op het scherm wordt weergegeven en op afstand met het apparaat te communiceren.
ThreatFabric ontdekte dat Manic informatie kan vastleggen die verband houdt met methoden om een telefoon te ontgrendelen, waaronder pincodes, wachtwoorden, patronen, vingerafdrukken en gezichtsherkenning. Onderzoekers karakteriseren de malware als een combinatie van functionaliteit die geassocieerd wordt met Android-bankdreigingen met bredere spyware-mogelijkheden.
Een van Manic’s meer onderscheidende mogelijkheden betreft hoe het informatie exfiltreert. Gestolen bestanden en data worden versleuteld met AES-GCM en opgeslagen in een lokale wachtrij terwijl de malware zoekt naar een pad naar zijn commando-en-controle-infrastructuur.
Een gecompromitteerde telefoon heeft niet per se een eigen internetverbinding nodig om die informatie te leveren. Manic kan in de wachtrij staande data overzetten naar een ander geïnfecteerd Android-apparaat in de buurt via Wi-Fi Direct of Bluetooth. Dat tweede apparaat kan dan fungeren als relais en de gestolen informatie doorsturen naar infrastructuur die door de aanvallers wordt gecontroleerd.
Als er noch een directe verbinding noch een ander geschikt geïnfecteerd apparaat beschikbaar is, houdt Manic de versleutelde gegevens in de wachtrij en probeert later opnieuw te verzenden.
Deze mogelijkheid betekent dat het loskoppelen van een geïnfecteerde smartphone van het internet mogelijk niet voldoende is om te voorkomen dat informatie het apparaat verlaat. Als een andere door Manic geïnfecteerde telefoon binnen draadloos bereik is, kan de malware nog steeds een alternatieve route hebben om gestolen informatie te verzenden.
Onderzoekers hebben Manic niet geïdentificeerd in de Google Play Store. De malware versterkt daarom de risico’s die gepaard gaan met het installeren van Android APK-bestanden die via onbetrouwbare websites of andere niet-officiële distributiebronnen zijn verkregen.