Una minaccia insidiosa per Android che ruba dati anche senza connessione a Internet.

I ricercatori di sicurezza di ThreatFabric monitorano da tempo l'infrastruttura di un nuovo malware per Android chiamato Manic. Il codice dannoso è installato su almeno 169 applicazioni diverse, tra cui servizi di mobile banking, servizi di identità digitale, portafogli di criptovalute, applicazioni di autenticazione a due fattori e persino applicazioni di comunicazione militari e aziendali. Gli attacchi si concentrano principalmente in Ucraina, ma tra gli obiettivi figurano anche applicazioni bancarie di diversi paesi europei, come Germania, Francia, Austria, Polonia e altri mercati.

Manic combina due aree che solitamente operano separatamente: frode bancaria e spionaggio industriale. Il programma è in grado di tracciare la posizione del dispositivo, leggere le notifiche, visualizzare i file e controllare il telefono da remoto. Il virus si diffonde tramite applicazioni container che utilizzano nomi simili a quelli dei componenti di sistema di produttori noti. Le versioni più recenti caricano il codice direttamente in memoria e si nascondono abilmente dall'elenco delle applicazioni installate.

La tecnica di intercettazione del PIN è particolarmente sofisticata. Invece di visualizzare false pagine di accesso, il codice malevolo sovrappone uno strato trasparente ai tastierini numerici delle applicazioni prese di mira. Registra con precisione ogni tocco sullo schermo, quindi abusa dei servizi di accessibilità e ripete lo stesso tocco in modo che l'applicazione legittima funzioni senza alcuna interferenza percepibile. Inoltre, il codice malevolo può testare automaticamente le password già salvate sulla schermata di blocco. Ordina al volo tutti i caratteri inseriti per tipologia, distinguendo tra parole di sicurezza dei portafogli di criptovalute, codici SMS, password e messaggi normali. Gli aggressori possono anche controllare il dispositivo in tempo reale tramite WebRTC e monitorare l'immagine dalla fotocamera o dallo schermo, mostrando all'utente una schermata nera o falsi aggiornamenti.

La parte più insolita del sistema è la trasmissione delle informazioni rubate. Se il telefono infetto non ha accesso a Internet, crittografa i dati rubati con l'algoritmo AES-GCM e li memorizza in una coda locale. Successivamente, utilizza Wi-Fi Direct o Bluetooth per individuare altri dispositivi infetti nelle vicinanze e trasmette loro il pacchetto crittografato, che poi percorre fino a quattro nodi intermedi per raggiungere il server di controllo.

Disconnettere il dispositivo dalla rete non impedirà la fuga di dati se nelle vicinanze si trova un altro telefono infetto. La protezione di base, pertanto, rimane quella di evitare sistematicamente l'installazione di file APK provenienti da fonti non verificate e di prestare attenzione quando si concedono autorizzazioni di sistema eccessive.