Er is een nieuwe Android-dreiging gesignaleerd: Android malware Manic. De aanvaller combineert functies van banking malware en mobiele spyware, met als doel slachtoffers te misleiden, gevoelige gegevens te verzamelen en apparaten op afstand te besturen. Uit onderzoek blijkt bovendien dat Manic data kan afgeven via een slimme “store-and-forward” aanpak, zelfs wanneer de besmette telefoon zelf geen internetverbinding heeft.
De campagne is gekoppeld aan targets in Oekraïne, maar ook aan Russische en Europese financiële instellingen, fintech en crypto-diensten, plus militaire en communicatiegerichte apps. Dat brede scala maakt duidelijk dat het niet alleen om fraude draait, maar om continue monitoring en controle.
Wat is Android malware Manic precies?
ThreatFabric beschrijft Manic als een dreigingsfamilie die zich op Android richt met een mix van financiële fraude en surveillance. De malware mikkt op applicaties zoals bankapps, P2P-betaling en BNPL-diensten, cryptocurrency wallets en exchanges, communicatie-apps en ook onderdelen die met identiteit te maken hebben, zoals overheidstoepassingen en eID-gerelateerde diensten.
Naast financieel gerichte doelen lijkt Manic ook bedoeld om slachtoffers “in het echt” te volgen. Door locatiegegevens te verzamelen en meldingen en schermactiviteit te monitoren, kan de aanvaller de financiële handelingen, communicatie en (ruw) bewegingsinformatie van een slachtoffer in de gaten houden.
Nieuwe techniek: data doorgeven via nabij geïnfecteerde apparaten
Het meest opvallende onderdeel van Android malware Manic is de manier waarop data wordt geëxfiltreerd wanneer de besmette telefoon offline is. In plaats van alleen te steunen op communicatie met een command-and-control (C2) server, gebruikt Manic een mechanisme waarbij data wordt doorgestuurd naar een nabij gelegen geïnfecteerd apparaat dat wél internet heeft.
Het principe werkt als volgt: de malware plaatst verzamelde bestanden en commanderesultaten in een versleutelde lokale wachtrij. Vervolgens probeert Manic een geïnfecteerde peer in de buurt te vinden via methoden als Wi‑Fi Direct, Bluetooth RFCOMM of BLE GATT. Zodra er een geschikte peer is gevonden, wordt het pakket doorgestuurd richting de C2-dienst.
Daarbij kan de route uit meerdere “relay hops” bestaan. Standaard zou tot vier hops mogelijk zijn (configurabel), met hop-count metadata om de voortgang bij te houden. Als er geen peer wordt gevonden, blijft alles in de wachtrij staan en wordt het later opnieuw geprobeerd. In de onderzoeksbevindingen staat ook dat het systeem, als het niets vindt, kan proberen een Wi‑Fi Direct groep op te zetten met een vaste netwerknaam en dat dit meerdere pogingen kent.
Waarom dit risico groter wordt bij offline toestellen
Veel organisaties en gebruikers denken bij malware-exfiltratie al snel aan netwerkverkeer: als het apparaat offline is, lijkt de uitgaande data kansloos. Android malware Manic doorbreekt dat idee. Door een ander besmet toestel als gateway in te zetten, kan de aanvaller alsnog gegevens verzamelen en doorsturen.
Dat betekent niet dat offline locaties “veilig” zijn, maar wel dat incidentanalyse en detectie niet enkel moeten leunen op directe verbindingen met bekende C2-domeinen. Ook later netwerkgedrag van andere (mogelijk geïnfecteerde) telefoons in de omgeving kan onderdeel zijn van het verhaal.
Hoe Manic slachtoffers misleidt en zich activeert
Manic is verspreid via phishing sites en dropper apps die zich voordoen als legitieme hulpprogramma’s. Volgens het onderzoek loopt de activiteit van de familie terug tot februari 2026: toen werd het eerste domein met een nep-profiel geregistreerd. Daarna volgden iteraties, waaronder een wrapper die met een booking-app lokte en de implant die rond het einde van mei werd waargenomen.
De ontwikkeling lijkt niet constant te zijn geweest. Tussen eind juni en mid-juli werden inspanningen tijdelijk stopgezet, maar rond 13 juli duikt er opnieuw bewijs op voor een tweede uitrol. Daarbij zouden strengere checks tegen analyse zijn toegevoegd, plus mogelijkheden om geheimen te “phishen” via het lockscreen.
Onderzoekers noemen daarnaast specifieke APK-rollen die met wrappers en implants zijn gelinkt. Voorbeelden die in het rapport worden genoemd zijn wrapper-achtige packages zoals tech.intel.dialer.updater en org.honor.secure.helper, en implant-achtige packages zoals org.lenovo.storage.processor en dev.huawei.media.helper.
Wat Android malware Manic kan: van wachtwoorden tot schermcontrole
Manic monitort een lijst met 169 pakket-ID’s. Die set omvat apps van banken, P2P-betalingen, BNPL, crypto-wallets en -exchanges, maar ook messaging-apps, overheid en eID, browsers, authenticator-apps en e-mailclients. Een groot deel van de doelen is Oekraïens, maar er zitten ook apps tussen die in Rusland, delen van Centraal en West-Europa en het Verenigd Koninkrijk worden gebruikt.
De malware misbruikt Android-voorzieningen zoals toegankelijkheidsservices en notification permissions. Daardoor kan het lockscreen-secrets onderscheppen, nep-overlays tonen en zo gevoelige invoer verzamelen of schadelijke activiteit verbergen. Veel Android-malware volgt dit patroon, maar Manic trekt het door naar een breed scala aan functies.
Belangrijke capabilities uit het onderzoek
- Intercepteert toetsenbord-/knopinteracties en verzamelt wachtwoorden, one-time codes en herstelzinnen (recovery phrases).
- Gebruikt toegankelijkheid om tekst en context (in welke app de invoer plaatsvindt) vast te leggen als een soort “UI keylogger”.
- Monitort het scherm en kan het toestel op afstand bedienen via een WebRTC-sessie.
- Verzamelt locaties (coördinaten en tijdstempel), inclusief het inschakelen van locatie als dat nog niet actief is.
- Maakt screenshots en exporteert contacten, belgeschiedenis, sms-berichten en meldingen.
- Geeft een lijst van geïnstalleerde apps door en kan nep-meldingen tonen.
- Probeert Google Play Protect uit te schakelen via UI-automatisering.
- Verwijdert lokale bestanden en kan het scherm vergrendelen via toegankelijkheidsfuncties.
PIN/lockscreen phishing zonder een nepbank-UI
Een specifieke techniek waar de onderzoekers extra op ingaan, is het vastleggen van PIN-codes. Daarbij serveert Manic een transparante overlay boven de echte numerieke keypad in een doelapp. Wanneer de gebruiker op de overlay tikt, registreert de malware de exacte tikpositie en het relevante UI-element.
Daarna zet de malware de touch-interceptie kort uit en “repliceert” het de tik op de echte keypad op dezelfde positie via de accessibility API. Zo kan de app er normaal uitzien voor het slachtoffer, terwijl de aanvaller wel de PIN-informatie heeft zonder een volledige nep-interface te hoeven tonen.
De combinatie van overlay-techniek, positionele informatie en accessibility-automatisering maakt dit een bijzonder efficiënte methode voor inputmisleiding.
Persistente controle en commandocommunicatie
Manic houdt zichzelf actief via achtergrondworkers, alarms en de combinatie van toegankelijkheids- en notification-services. In de rapportage staat dat deze onderdelen C2-communicatie gaande houden, commando’s verwerken, gequeuede data uploaden en het offline mesh-synchronisatieproces ondersteunen.
De frequentie van periodieke uitvoering wordt beschreven als elke 10 tot 15 minuten, afhankelijk van de build. Dat ritme helpt de malware om snel te reageren op commando’s en om verzamelde gegevens niet “te lang” te laten wachten.
Wat kun je doen: praktische aandachtspunten
Gezien de brede functionaliteit van Android malware Manic is het verstandig je beveiliging niet te beperken tot één maatregel. Richt je op detectie, beperking van rechten en beheer van applicaties.
- Controleer app-toestemmingen: let extra op toegang tot toegankelijkheidsservices en meldingen. Als een app die je niet vertrouwt deze rechten vraagt of al heeft, is dat een alarmsignaal.
- Wees kritisch op “utility”-apps en phishing links: Manic kwam via phishing sites en dropper apps die zich voordoen als hulpmiddelen. Installeer dus niet op basis van twijfelachtige advertenties of vage promoties.
- Beperk het risico op accountcompromis: als je accounts gebruikt met authenticator-apps, let op verdachte gedrag rond lockscreens en meldingen; dat is precies waar Manic op kan sturen.
- Onderzoek verdachte peers: als je in een incident meerdere toestellen binnen een organisatie of gezin ziet, houd rekening met de mogelijkheid dat exfiltratie niet “alleen” via één telefoon loopt.
Wil je de bredere context begrijpen van Android-achtige dreigingen en AI-gestuurde governance-risico’s in securityprocessen? Dan kan ook dit artikel nuttig zijn over governance-risico’s rond AI bij security-implementaties.
Voor teams die zich bezighouden met model- en sandboxbeveiliging (aanvullend op mobile security) is er bovendien een praktische invalshoek in AI modelbeveiliging met sandboxing, waarmee je kunt nadenken over isolatieprincipes als verdedigingslijn.
Conclusie
Android malware Manic combineert financiële fraude met spyware-achtige surveillance en gaat daarbij verder dan “standaard” malwarecommunicatie. Door een store-and-forward relay-mechanisme te gebruiken via nabijgelegen geïnfecteerde apparaten, kan de dreiging gegevens exfiltreren zonder dat de besmette telefoon direct internet nodig heeft.
Dat maakt de impact groter en vraagt om bredere waakzaamheid: controle van toestemmingen, zorgvuldig installeren, én alertheid op signalen bij andere (mogelijk besmette) apparaten in de omgeving.
Bron: https://thehackernews.com/2026/08/manic-android-malware-exfiltrates-data.html
