Una amenaza insidiosa para Android que roba datos incluso sin conexión a internet.

Los investigadores de seguridad de ThreatFabric llevan tiempo monitorizando la infraestructura de un nuevo malware para Android llamado Manic. Este código malicioso se instala en al menos 169 aplicaciones diferentes, incluyendo banca móvil, servicios de identidad digital, monederos de criptomonedas, aplicaciones de autenticación de dos factores e incluso aplicaciones de comunicación militar y empresarial. Si bien el foco principal de los ataques se encuentra en Ucrania, también se han visto afectadas aplicaciones bancarias de varios países europeos, como Alemania, Francia, Austria, Polonia y otros mercados.

Manic combina dos áreas que normalmente operan por separado: el fraude bancario y el espionaje directo. El programa puede rastrear la ubicación del dispositivo, leer notificaciones, ver archivos y controlar el teléfono de forma remota. El virus se propaga a través de aplicaciones contenedoras que utilizan nombres similares a componentes del sistema de fabricantes reconocidos. Las versiones más recientes cargan el código directamente en la memoria y se ocultan hábilmente de la lista de aplicaciones instaladas.

La técnica de interceptación del PIN es particularmente sofisticada. En lugar de mostrar páginas de inicio de sesión falsas, el código malicioso coloca una capa transparente sobre los teclados numéricos de las aplicaciones objetivo. Registra con precisión cada toque en la pantalla, luego abusa de los servicios de accesibilidad y repite el mismo toque para que la aplicación legítima funcione sin ninguna interferencia perceptible. Además, el código malicioso puede probar automáticamente las contraseñas guardadas en la pantalla de bloqueo. Clasifica todos los caracteres introducidos por tipo en tiempo real, distinguiendo entre palabras de seguridad de monederos de criptomonedas, códigos SMS, contraseñas y mensajes normales. Los atacantes también pueden controlar el dispositivo en tiempo real a través de WebRTC y monitorizar la imagen de la cámara o la pantalla, mientras muestran al usuario una pantalla negra o actualizaciones falsas.

La parte más inusual del sistema es la transmisión de la información robada. Si el teléfono infectado no tiene acceso a internet, cifra los datos robados con el algoritmo AES-GCM y los almacena en una cola local. Luego, utiliza Wi-Fi Direct o Bluetooth para encontrar otros dispositivos infectados cercanos y les transmite el paquete cifrado, que posteriormente viaja hasta cuatro saltos intermedios hasta el servidor de control.

Desconectar el dispositivo de la red no evitará la fuga de datos si hay otro teléfono infectado cerca. Por lo tanto, la protección básica consiste en evitar instalar archivos APK de fuentes no verificadas y tener precaución al otorgar permisos de sistema extensos.