Sicherheitsforscher haben eine neue Android-Malware namens Manic entdeckt, die Banking-Trojaner, Spyware und Fernsteuerung kombiniert und gestohlene Daten über infizierte Geräte in der Nähe weiterleiten kann, wenn keine direkte Internetverbindung besteht.
Das Sicherheitsunternehmen ThreatFabric hat eine neue Familie bösartiger Android-Codes identifiziert, die Finanzbetrug, Überwachung und Fernsteuerung kombinieren.
Der Schadcode trägt den Namen Manic und ist mindestens seit Februar 2026 aktiv. Die Ukraine ist das Hauptziel, aber er überwacht auch Anwendungen, die von Banken, Regierungen und E-Identifizierungsdiensten in mehreren europäischen Ländern genutzt werden. 
ThreatFabric hat 169 Paketkennungen identifiziert, die Manisch Monitore. Dazu gehören Banken, Zahlungsdienste, Krypto-Börsen, digitale Geldbörsen, elektronische Ausweise, Authentifizierungs-Apps, Messaging-Dienste, Browser und E-Mail-Clients.
Kann Eingaben in realen Apps aufzeichnen
Manic missbraucht die Barrierefreiheitsfunktionen von Android, um das infizierte Gerät zu überwachen und zu steuern.
Schadcode kann die Tastatureingaben des Nutzers auf dem Ziffernblock einer legitimen Banking-App aufzeichnen. Die Tastatureingaben werden gleichzeitig an die eigentliche Anwendung gesendet, sodass die Banking-App während der Aufzeichnung weiterhin normal funktioniert.
Manic kann unter anderem Folgendes sammeln:
- Passwörter und Bildschirmsperrcodes.
- Einmalcodes aus SMS und Benachrichtigungen.
- Wiederherstellungsphrasen für Krypto-Wallets.
- E-Mail-Logins.
- Dateien, Kontakte und Anrufliste.
- Stelleninformationen.
- Inhalte vom Bildschirm und aus Messaging-Diensten.
Der Angreifer kann außerdem eine WebRTC-Sitzung herstellen, um den Bildschirm zu beobachten und das Gerät fernzusteuern.
Infizierte Telefone können Daten weiterleiten
Das ungewöhnlichste Merkmal ist ein System zum Versenden gestohlener Daten über andere infizierte Android-Geräte.
Kann ein kompromittiertes Telefon den Command-Server der Angreifer nicht direkt erreichen, sucht Manic nach infizierten Geräten in der Nähe. Die Kommunikation kann über Wi-Fi Direct, klassisches Bluetooth oder Bluetooth Low Energy erfolgen.
Gesammelte Dateien und Befehlsantworten werden mit AES-GCM verschlüsselt und in einer lokalen Warteschlange gespeichert. Ein infiziertes Gerät in der Nähe mit Internetverbindung kann die Informationen dann weiterleiten.
Die Technologie unterstützt auch mehrere Relaisverbindungen. ThreatFabric Es wurden Konfigurationen beobachtet, bei denen Informationen über bis zu vier infizierte Geräte gesendet werden können, bevor sie die Infrastruktur der Angreifer erreichen.
Das bedeutet, dass eine Trennung von der Internetverbindung die Datenübertragung nicht unbedingt unterbricht, wenn sich ein anderes infiziertes Telefon in Funkreichweite befindet.
Die genaue Verbreitungsmethode ist noch nicht festgelegt.
Die Forscher haben noch nicht herausgefunden, wie die Erstinfektionen erfolgen. Die analysierten Versionen verwenden eine separate Installationskomponente, die den eigentlichen Schadcode ausliefert.
Eine im Juli beobachtete aktualisierte Version enthält verbesserte Funktionen, die die Analyse erschweren, das direkte Laden von Code in den Speicher sowie Methoden zum Stehlen des Gerätesperrcodes.
Laut ThreatFabric deutet diese Entwicklung darauf hin, dass Manic noch aktiv weiterentwickelt wird.
Unternehmen sollten die Android-Berechtigungen kontrollieren.
Organisationen, die Android-Geräten den Zugriff auf Unternehmensdaten gestatten, sollten Installationen aus unbekannten Quellen überprüfen und die Verwendung von Zugriffsberechtigungen überwachen.
Nutzer sollten APK-Dateien von inoffiziellen Websites meiden, Apps, die diese nicht benötigen, den Zugriff verweigern und Google Play Protect verwenden.
Unternehmen, die verwaltete Mobilgeräte einsetzen, können auch MDM- oder MTD-Plattformen nutzen, um die Installation aus unbekannten Quellen zu blockieren, installierte Pakete zu inventarisieren und anormale Berechtigungen zu identifizieren.
Swedish 
Danish 
Norwegian 
Finnish 
English 
German 
Dutch 