Manic è un nuovo malware Android che può rubare PIN e controllare lo smartphone da remoto

Il panorama delle minacce informatiche per Android si arricchisce di una nuova famiglia di malware particolarmente insidiosa, si chiama Manic ed è stata individuata dal team Mobile Threat Intelligence di ThreatFabric, che la descrive come una combinazione tra un classico malware bancario e uno spyware, con capacità che permettono agli aggressori non soltanto di sottrarre informazioni finanziarie, ma anche di sorvegliare e controllare da remoto i dispositivi compromessi.

L’attività legata a Manic sarebbe iniziata già nel febbraio 2026, quando è stata registrata la prima infrastruttura associata alla minaccia. Nei mesi successivi il progetto si è evoluto rapidamente, passando attraverso diverse fasi di sviluppo fino ad arrivare, a luglio, a una versione dotata di controlli anti-analisi più avanzati, caricamento in memoria del DEX e nuove tecnologie per il furto di informazioni.

Segui TuttoAndroid su Google Discover

Un malware che punta soprattutto a banche e servizi sensibili

Uno degli aspetti più preoccupanti di Manic è l’ampiezza dei suoi obbiettivi, il malware monitora 169 ID di pacchetto associati a banche, servizi di pagamento, exchange e portafogli di criptovalute, applicazioni di messaggistica, servizi governativi e piattaforme per l’identità elettronica, oltre a browser e client di posta elettronica. La maggior parte delle applicazioni prese di mira appartiene all’Ucraina, ma l’elenco comprende anche servizi utilizzati in Russia, nell’Europa centrale e occidentale e nel Regno Unito, oltre a piattaforme fintech e crypto attive a livello globale.

Il quadro che emerge è quindi più ampio rispetto a quello di un semplice trojan bancario, Manic sembra infatti voler ottenere una visione completa dell’attività della vittima, combinando la componente finanziaria con quella di sorveglianza. Oltre alle applicazioni bancarie vengono infatti prese di mira app di messaggistica, browser ed email, comprese quelle utilizzate in ambito commerciale e militare; il malware può inoltre occuparsi del tracciamento della posizione, del monitoraggio delle notifiche, della raccolta di file e della sorveglianza remota del dispositivo.

L’Ucraina rappresenta il principale obbiettivo dell’operazione, ma la presenza di applicazioni relative a numerosi altri Paesi dimostra come la minaccia non sia necessariamente confinata a un singolo territorio. Tra le aree geografiche interessate figurano anche Russia, Polonia, Repubblica Ceca, Slovacchia, Austria, Germania, Francia, Spagna, Paesi Bassi, Estonia, Lituania e Regno Unito.

Manic può controllare lo smartphone e intercettare informazioni sensibili

Le capacità tecniche del malware sono particolarmente estese, dopo aver ottenuto l’accesso ai servizi di accessibilità e alle notifiche, Manic può acquisire la password utilizzata per sbloccare il dispositivo e sfruttare overlay o schermate contraffatte per nascondere le proprie attività. Quando la vittima utilizza applicazioni bancarie o relative alle criptovalute, il malware è in grado di intercettare le interazioni con la tastiera e raccogliere password, codici monouso e persino frasi di recupero.

Una delle tecniche utilizzate è particolarmente interessante perché non richiede il classico overlay che mostra alla vittima una falsa applicazione bancaria, Manic sfrutta infatti il proprio servizio di accessibilità come una sorta di keylogger dell’interfaccia utente, classificando il testo intercettato in base al contesto; può distinguere, per esempio, gli input provenienti dalla schermata di blocco, potenziali seed phrase, codici SMS da quattro a sei cifre, password, messaggi e credenziali inserite tramite email.

A rendere il tutto ancora più pericoloso contribuisce la possibilità di instaurare sessioni remote tramite WebRTC. Gli operatori possono così osservare lo schermo e interagire con il dispositivo sfruttando i privilegi concessi ai servizi di accessibilità. Durante queste sessioni Manic può anche nascondere le proprie attività mostrando schermate nere, schermate false o finte schermate di aggiornamento, arrivando a coprire persino le richieste di autorizzazione.

Il malware dispone inoltre di meccanismi di persistenza basati su processi in background, allarmi e servizi di accessibilità e notifica. Questi componenti permettono di mantenere la comunicazione con l’infrastruttura di comando e controllo, elaborare i comandi e caricare i dati raccolti, con attività periodiche che possono avvenire ogni 10-15 minuti a seconda della versione utilizzata.

Il furto del PIN avviene direttamente sulla tastiera dell’app bancaria

Tra le funzioni più sofisticate di Manic troviamo quelle dedicate al furto e al riutilizzo del PIN. Il malware dispone di due meccanismi distinti: pinPadOverlay, che opera all’interno delle applicazioni di open banking, e autoEnterPin, che agisce invece sulla schermata di blocco di Android tentando di inserire una credenziale o una sequenza precedentemente memorizzata.

Il primo sistema è particolarmente interessante perché non sostituisce completamente la tastiera dell’applicazione bancaria con una schermata fasulla. Manic individua il tastierino numerico e crea una sovrapposizione limitata all’area dei pulsanti, registrando la posizione dei tocchi effettuati dall’utente; subito dopo, il malware riproduce quei tocchi attraverso le impostazioni di accessibilità, permettendo al’app bancaria autentica di ricevere normalmente l’input.

Per la vittima quindi, l’operazione può apparire del tutto normale: l’app bancaria continua a funzionare e non viene necessariamente mostrata una falsa schermata dio login. Nel frattempo, però, il malware può registrare le informazioni digitate.

I dispositivi infetti possono diventare una rete per trasmettere i dati

La caratteristica probabilmente più insolita di Manic riguarda il sistema utilizzato per trasferire i dati raccolti. Il malware implementa infatti un meccanismo store-and-forward che permette a un dispositivo compromesso di conservare localmente le informazioni nel caso in cui non riesca a raggiungere direttamente il server di comando e controllo.

I dati vengono crittografati con AES-GCM e inseriti in una coda locale. Manic cerca quindi altri dispositivi infetti nelle vicinanze che possono funzionare da ponte verso internet, per farlo può utilizzare Wi-Fi Direct, Bluetooth RFCOMM e BLE GATT, verificando la presenza di dispositivi compromessi dotati di connettività internet. Il sistema supporta inoltre percorsi multi-hop, con un massimo predefinito di quattro passaggi.

Questo significa che togliere temporaneamente la connessione internet a uno smartphone infetto non garantisce necessariamente che i dati rimangano sul dispositivo, se nelle vicinanze è presente un altro telefono compromesso, Manic può infatti sfruttarlo come gateway per inoltrare le informazioni verso la propria infrastruttura.

Una minaccia Android ancora in piena evoluzione

ThreatFabric considera Manic una piattaforma di frode ancora in fase di sviluppo, l’evoluzione osservata tra maggio e luglio 2026, con l’introduzione di tecniche anti-analisi più efficaci, nuove modalità di protezione e un sistema di relay mesh offline, mostra come gli autori stiano continuando a lavorare sull’operazione e ad ampliarne le capacità.

La combinazione tra furto di credenziali, intercettazione dei codici di autenticazione, controllo remoto, sorveglianza e trasmissione dei dati attraverso altri dispositivi infetti rende Manic una minaccia particolarmente sofisticata. Non si tratta, dunque, soltanto di un malware interessato al conto bancario della vittima, l’obbiettivo sembra essere quello di ottenere un controllo molto più ampio sullo smartphone e sulle informazioni che contiene.

Per gli utenti Android, il caso Manic rappresenta quindi un ulteriore promemoria sull’importanza di prestare particolare attenzione alle applicazioni installate e soprattutto alle autorizzazioni concesse, considerando che l’accesso ai servizi di accessibilità e alle notifiche può offrire a un malware capacità molto più estese rispetto a quelle di una normale applicazione.