Tietoturvatutkijat ovat löytäneet uuden Android-haittaohjelman nimeltä Manic, joka yhdistää pankkitroijalaisen, vakoiluohjelman ja etähallinnan ja voi välittää varastettuja tietoja lähellä olevien tartunnan saaneiden laitteiden kautta, vaikka suoraa internetyhteyttä ei olisi.
Tietoturvayritys ThreatFabric on tunnistanut uuden haitallisen Android-koodiperheen, joka yhdistää talouspetokset, valvonnan ja etähallinnan.
Haittakoodi on nimetty Maniciksi, ja se on ollut aktiivinen ainakin helmikuusta 2026 lähtien. Ukraina on ensisijainen kohde, mutta se seuraa myös pankkien, hallitusten ja sähköisen tunnistautumisen palveluiden käyttämiä sovelluksia useissa Euroopan maissa. 
ThreatFabric on tunnistanut 169 pakettitunnistetta, jotka Maaninen monitorit. Näihin kuuluvat pankit, maksupalvelut, kryptopörssit, digitaaliset lompakot, sähköiset henkilökortit, todennussovellukset, viestipalvelut, selaimet ja sähköpostiohjelmat.
Voi tallentaa syötteitä oikeissa sovelluksissa
Manic väärinkäyttää Androidin esteettömyysominaisuuksia tartunnan saaneen laitteen valvontaan ja hallintaan.
Haittaohjelmakoodi voi tallentaa käyttäjän näppäilyt numeronäppäimistöllä laillisessa pankkisovelluksessa. Näppäilyt lähetetään samanaikaisesti oikeaan sovellukseen, jolloin pankkisovellus voi jatkaa toimintaansa normaalisti syötteen tallentamisen aikana.
Manic voi kerätä muun muassa:
- Salasanat ja näytön lukituskoodit.
- Kertaluonteiset koodit tekstiviesteistä ja ilmoituksista.
- Kryptolompakoiden palautuslausekkeet.
- Sähköpostikirjautumiset.
- Tiedostot, yhteystiedot ja puheluhistoria.
- Sijaintitiedot.
- Näytöltä ja viestipalveluista tuleva sisältö.
Hyökkääjä voi myös muodostaa WebRTC-istunnon näytön tarkkailemiseksi ja laitteen etäohjaamiseksi.
Tartunnan saaneet puhelimet voivat välittää dataa
Epätavallisin ominaisuus on järjestelmä varastettujen tietojen lähettämiseksi muiden tartunnan saaneiden Android-laitteiden kautta.
Jos vaarantunut puhelin ei saa suoraan yhteyttä hyökkääjien komentopalvelimeen, Manic etsii tartunnan saaneita laitteita lähistöltä. Viestintä voi tapahtua Wi-Fi Directin, perinteisen Bluetoothin tai Bluetooth Low Energyn kautta.
Kerätyt tiedostot ja komentovastaukset salataan AES-GCM-salauksella ja sijoitetaan paikalliseen jonoon. Lähellä oleva tartunnan saanut laite, jolla on internetyhteys, voi sitten lähettää tiedot eteenpäin.
Teknologia tukee myös useita välitysyhteyksiä. ThreatFabric ovat havainneet kokoonpanoja, joissa tietoa voidaan lähettää jopa neljän tartunnan saaneen laitteen kautta ennen kuin se saavuttaa hyökkääjien infrastruktuurin.
Tämä tarkoittaa, että internetyhteyden katkaiseminen ei välttämättä pysäytä tiedonsiirtoa, jos radioyhteyden sisällä on toinen tartunnan saanut puhelin.
Tarkkaa levitystapaa ei ole määritelty.
Tutkijat eivät ole vielä selvittäneet, miten alkuperäiset tartunnat tapahtuvat. Analysoiduissa versioissa käytetään erillistä asennuskomponenttia, joka toimittaa pääasiallisen haittakoodin.
Heinäkuussa havaittu päivitetty versio sisältää parannettuja ominaisuuksia, jotka vaikeuttavat analyysiä, lataavat koodia suoraan muistiin ja menetelmiä laitteen lukituskoodin varastamiseksi.
ThreatFabricin mukaan kehitys viittaa siihen, että Manicia kehitetään edelleen aktiivisesti.
Yritysten tulisi hallita Android-käyttöoikeuksia
Organisaatioiden, jotka sallivat Android-laitteiden käyttää yritystietoja, tulisi tarkistaa tuntemattomista lähteistä tulevat asennukset ja valvoa, miten esteettömyysoikeuksia käytetään.
Käyttäjien tulisi välttää epävirallisten verkkosivustojen APK-tiedostoja, estää sovellusten käyttöoikeudet, jotka eivät sitä tarvitse, ja käyttää Google Play Protectia.
Hallittuja mobiililaitteita käyttävät yritykset voivat myös käyttää MDM- tai MTD-alustoja estääkseen asennuksia tuntemattomista lähteistä, inventoidakseen asennettuja paketteja ja tunnistaakseen poikkeavat käyttöoikeudet.
Swedish 
Danish 
Norwegian 
Finnish 
English 
German 
Dutch 