Pesquisadores de segurança descobriram uma cepa de malware Android que combina fraude bancária, vigilância e controle remoto de dispositivos com um método incomum para transferir informações roubadas entre smartphones infectados.
Nomeado Manic por pesquisadores de ThreatFabric , o malware tem como alvo 169 aplicações abrangendo bancos, serviços de pagamento, plataformas e carteiras de criptomoedas, serviços de mensagens, aplicativos governamentais, autenticadores, navegadores e clientes de e-mail. Seu foco principal é a Ucrânia, embora sua lista de alvos também abrange instituições financeiras russas e europeias, serviços internacionais de fintech e criptomoedas, além de comunicações voltadas para o setor militar.
Uma vez que Manic obtém permissões de Serviço de Acessibilidade e notificações, seus operadores podem obter acesso extensivo ao dispositivo Android comprometido. O malware pode coletar senhas, códigos de autenticação de uso único e frases de recuperação de criptomoedas, além de monitorar mensagens de texto.
Manic pode abusar de sobreposições e telas enganosas quando as vítimas usam aplicativos bancários ou de criptomoedas direcionados. Essas técnicas permitem que ele oculte atividades maliciosas e capture informações inseridas por teclados na tela. Abuso dos Serviços de Acessibilidade Android também permite que atacantes observem o que é exibido na tela e interajam remotamente com o dispositivo.
A ThreatFabric descobriu que Manic pode capturar informações associadas aos métodos usados para desbloquear um telefone, incluindo PINs, senhas, padrões, impressões digitais e reconhecimento facial. Pesquisadores caracterizam o malware como uma combinação de funcionalidades associadas a ameaças bancárias Android com capacidades mais amplas de spyware.
Uma das capacidades mais distintas do Manic diz respeito à forma como ele exfiltra informações. Arquivos e dados roubados são criptografados usando AES-GCM e armazenados em uma fila local enquanto o malware busca um caminho para sua infraestrutura de comando e controle.
Um telefone comprometido não precisa necessariamente de sua própria conexão de internet para entregar essas informações. Manic pode transferir dados em fila para outro dispositivo Android infectado localizado nas proximidades, usando Wi-Fi Direct ou Bluetooth. Esse segundo dispositivo pode então atuar como um relé e encaminhar as informações roubadas para a infraestrutura controlada pelos atacantes.
Se não houver conexão direta nem outro dispositivo infectado adequado disponível, Manic mantém os dados criptografados em fila e tenta transmitir novamente depois.
Essa capacidade significa que desconectar um smartphone infectado da internet sozinho pode não ser suficiente para impedir que informações saiam do dispositivo. Se outro telefone infectado por Manic estiver dentro do alcance sem fio, o malware ainda pode ter uma rota alternativa para transmitir informações roubadas.
Pesquisadores não identificaram Manic na Google Play Store. Portanto, o malware reforça os riscos associados à instalação de arquivos APK do Android obtidos por meio de sites não confiáveis ou outras fontes de distribuição não oficiais.