Die Manic Android Malware sorgt derzeit für besonders viel Aufsehen, weil sie nicht nur Bank- und Spionagefunktionen kombiniert, sondern Datenabfluss auch dann ermöglicht, wenn ein infiziertes Telefon gar keinen Internetzugang hat. Sicherheitsforscher berichten, dass der Schadcode dabei nahe Geräte in das Exfiltrationskonzept einbindet – so wird aus einem einzelnen kompromittierten Smartphone ein Teil eines lokalen Weiterleitungsnetzes.
In den beobachteten Kampagnen richtete sich Manic unter anderem gegen ukrainische Banken und staatliche bzw. identitätsbezogene Dienste. Außerdem werden Apps aus Russland sowie verschiedene Akteure in Europa, darunter auch das Vereinigte Königreich, in der Zielauswahl genannt. Damit bewegt sich die Bedrohung im Schnittfeld von Mobile Banking Malware und umfassender Überwachung.
Was macht die Manic Android Malware besonders?
ThreatFabric beschreibt die Familie als Mischform: Einerseits stehen Funktionen für finanzielle Umtriebe im Vordergrund, andererseits ergänzt Manic dies um Mechanismen zur Geräteübernahme und zum erweiterten Monitoring. Konkret geht es um das Auslesen sensibler Informationen, das Abgreifen von Eingaben und das Manipulieren von Interaktionen mit dem Smartphone – auch über Social-Engineering- und Overlay-Techniken.
Besonders auffällig ist jedoch ein neuartiger Wi‑Fi- bzw. Peer-Relay-Ansatz. Der Schadcode versucht, gesammelte Daten und Ergebnisse über andere kompromittierte Geräte in der Nähe weiterzureichen, sofern das eigene Gerät gerade nicht direkt mit der Angreifer-Infrastruktur kommunizieren kann.
Angriffswege: Phishing und täuschende Dropper-Apps
Wie bei vielen Android-Kampagnen beginnt der Prozess häufig mit Ködern, die Nutzer in die falsche Richtung lenken. Bei Manic wird die Verbreitung über Phishing-Seiten sowie über Dropper-Apps beschrieben, die als harmlose Werkzeuge (z. B. Utility-ähnliche Anwendungen) getarnt sind.
Die Entwicklung der Kampagne wird laut den Berichten bereits auf Februar 2026 datiert. Danach folgten weitere Anpassungen, darunter erste Versionen, die mit einem Booking-App-Lure verbunden wurden. Zwischen Ende Juni und Mitte Juli wurden Arbeiten teilweise pausiert, bevor um den 13. Juli herum eine neue Ausspielung erkennbar war.
Betroffene Ziele: Banken, Kryptodienste und Kommunikations-Apps
Eine Analyse von Manic zeigt eine Liste von 169 überwachten Paket-IDs. Dazu zählen unter anderem Anwendungen für:
- Banken
- P2P-Zahlungen sowie Buy Now Pay Later (BNPL)
- Kryptowallets und -börsen
- Messaging-Apps
- staatliche Dienste inklusive eID-Anwendungen
- Browser, Authentifikatoren und E-Mail-Clients
Der Schwerpunkt liegt zwar auf ukrainischen Anwendungen, jedoch tauchen auch in der Liste Tools und Dienste auf, die in Russland sowie in Teilen Zentraleuropas, Westeuropas und dem Vereinigten Königreich genutzt werden. Die Mischung deutet laut den Forschern auf die Kombination aus Banking-Angriff und Spionage hin: Finanzbetrug ist ein Hauptziel, während die Spionagekomponenten das Gesamtbild für den Angreifer abrunden.
Überwachung und Geräteübernahme über Android-Berechtigungen
Wie viele andere Android-Schadprogramme erreicht die Manic Android Malware ihre Ziele durch das Ausnutzen von Berechtigungen und Systemfunktionen. Besonders relevant sind dabei die Accessibility Services sowie Benachrichtigungsrechte. Diese ermöglichen unter anderem, Inhalte aus dem UI-Kontext zu erfassen, Lock-Screen-Details zu missbrauchen oder gefälschte Bildschirme einzublenden, ohne dass das Opfer die Manipulation sofort bemerkt.
Zu den beobachteten Fähigkeiten gehören unter anderem:
- Interzeption von Tastatureingaben inklusive Passwörtern, Einmalcodes und Recovery Phrases
- Funktion als „UI-Logger“, der Text erfasst und dem jeweiligen App-Kontext zuordnet
- Screen-Monitoring und Ferninteraktion über eine WebRTC-Verbindung
- Entfernen des Implantats aus dem Launcher
- Erfassen von Koordinaten und Zeitstempel (inkl. Aktivieren von Standortdiensten, falls nötig)
- Aufnahme von Screenshots
- Export von Kontakten, Anrufhistorie, SMS und Benachrichtigungen
- Ermittlung der installierten Apps
- Versenden von SMS an eine angegebene Telefonnummer mit festgelegtem Text
- Anzeige irreführender Benachrichtigungen
- Löschen lokaler Dateien
- Sperren des Bildschirms über Accessibility
- Versuch, Google Play Protect per UI-Automation zu umgehen
PIN-Abgriff über Overlay: Wenn die Tastatur „korrekt“ wirkt
Ein besonders konkreter Mechanismus betrifft das Abgreifen von PINs. Manic legt dabei ein transparentes Overlay über die legitime numerische Tastatur in der Zielanwendung. Wenn der Nutzer auf den unsichtbaren Bereich tippt, zeichnet die Malware die exakte Position und das zugehörige UI-Element auf.
Danach wird die Touch-Abfangfunktion kurz deaktiviert und die Eingabe wird anschließend an die echte Tastatur an der gleichen Position nachgebildet – für das Opfer läuft die App dadurch scheinbar normal weiter. Ergebnis: Der Angreifer erhält die PIN-Information, während der Schadcode keinen eindeutig „falschen Banking-Screen“ anzeigen muss.
Persistence und Kommunikation: Hintergrundjobs statt sichtbarer Aktivität
Damit die Manic Android Malware auch nach einem Neustart und über längere Zeit aktiv bleibt, setzt sie auf Hintergrundkomponenten. Dazu gehören Hintergrund-Worker, Alarmmechanismen sowie Zugriff über Accessibility und Benachrichtigungsdienste.
Diese Elemente dienen dazu, die Kommunikation mit der Kommando- und Steuerungsinfrastruktur (C2) aufrechtzuerhalten, Befehle zu verarbeiten, aufgelaufene Daten hochzuladen und die Offline-Relay-Funktionalität mit den Geräten in der Umgebung abzustimmen. Je nach Build erfolgt die regelmäßige Ausführung etwa alle 10 bis 15 Minuten.
Offline-Datenabfluss: Relay über nahe infizierte Geräte
Der Kern des ungewöhnlichen Ansatzes ist das Store-and-Forward-Relaying. Wenn das infizierte Gerät nicht direkt auf das C2-Setup zugreifen kann, versucht Manic stattdessen, in der unmittelbaren physischen Umgebung ein weiteres kompromittiertes Android-Gerät zu finden, das als „Brücke“ dient.
Das Prinzip lässt sich so zusammenfassen:
- Gesammelte Dateien und Befehlsresultate werden in verschlüsselter Form in eine lokale Warteschlange gelegt.
- Dann sucht die Malware nach einem infizierten Peer in der Nähe, z. B. über Wi‑Fi Direct, Bluetooth RFCOMM oder BLE GATT.
- Findet sie einen Peer, wird das verschlüsselte Paket an dieses Gerät weitergeleitet und von dort aus Richtung C2 transportiert.
Manic kann dabei auch mehrstufige Routen nutzen. In der Standardeinstellung sind bis zu vier Relay-Hops vorgesehen. Wenn zunächst kein Peer erkannt wird, bleibt die Datenmenge in der Queue und wird später erneut versucht.
Laut ThreatFabric erhält jedes neu erzeugte Warteschlangenelement standardmäßig eine Relay-Limitierung mit vier Hops, wobei die Konfiguration angepasst werden kann. Zusätzlich wird in den Relay-Metadaten die aktuelle Hop-Anzahl mitgeführt. Stößt die Malware auf keinen verfügbaren Peer, kann sie einen Wi‑Fi Direct Gruppaufbau starten. Dabei wird das Vorgehen in den beschriebenen Builds mehrfach wiederholt, bis entweder ein Gerät gefunden wurde oder die Versuche beendet sind.
Für Opfer bedeutet das: Das Abschalten von mobilem Internet oder das Trennen von WLAN schützt nicht zwingend. Sobald mindestens ein anderes infiziertes Gerät in Reichweite ist, kann dieses als Gateway fungieren und den Datentransfer ermöglichen.
Entwicklung zwischen Mai und Juli 2026
Die beobachtete Entwicklung der Manic Android Malware zwischen Mai und Juli 2026 legt nahe, dass die Betreiber weiter aktiv an der Leistungsfähigkeit arbeiten. Genannt werden stärkere Anti-Analyse-Prüfungen sowie die Fähigkeit, Screen-Secret-Phishing zu unterstützen. Zusätzlich ging ein zugehöriges Panel und eine API im Zeitraum zwischen dem 24. und 28. Juli live.
Auch bei den Namen der beteiligten APK-Dateien tauchen konkrete Beispiele auf, die in den Berichten genannt werden. Dabei handelt es sich um Wrapper- und Implant-Komponenten, die unterschiedliche Rollen im Infektions- und Funktionsablauf erfüllen.
Was können Nutzer und Organisationen daraus ableiten?
Auch wenn der konkrete Angriffsszenario-Detailschwerpunkt schwer nachzuvollziehen ist, zeigen die beschriebenen Funktionen eine klare Richtung: Manic setzt auf Social-Engineering, Missbrauch von Accessibility und Benachrichtigungsrechten sowie ein Exfiltrationsmodell, das sich nicht allein auf die Online-Verbindung des Opfergeräts stützt.
Praktisch kann das für Unternehmen bedeuten, dass neben klassischen Schutzmaßnahmen auch die Sensibilisierung für Phishing und die Kontrolle von Berechtigungen auf mobilen Endgeräten wichtig sind. Zusätzlich lohnt sich eine Routineprüfung, ob verdächtige Apps installiert sind oder ob ungewöhnliche Remote-Interaktions- bzw. Overlay-Verhalten auftritt.
Fazit
Die Manic Android Malware steht exemplarisch für den Trend, mobile Bedrohungen deutlich „anpassungsfähiger“ zu machen. Der Angriff kombiniert Banking-Funktionen, Spionage und umfangreiche Geräte-Kontrolle – und erweitert den Datenabfluss um einen Relay-Mechanismus, der auf nahe infizierte Geräte setzt. Damit kann Datentransfer auch dann stattfinden, wenn das betroffene Smartphone zeitweise offline ist.
Wer mobile Systeme schützt, sollte daher sowohl auf Basis-Security (Berechtigungen, App-Verhalten, Phishing-Schutz) als auch auf die Risikobewertung bei kompromittierten Endpunkten achten. Denn in einem lokalen Umfeld kann aus einem einzelnen infizierten Gerät schnell eine „Weiterleitungsstation“ werden.
Quelle: https://thehackernews.com/2026/08/manic-android-malware-exfiltrates-data.html
