Un nuovo malware chiamato Manic su Android combina le capacità di un banking Trojan con quelle di uno spyware. Secondo ThreatFabric controlla 169 identificativi di app, può tentare di sottrarre PIN e credenziali e prova persino a interferire con Google Play Protect.
Un nuovo malware su Android sta attirando l’attenzione dei ricercatori di sicurezza per la quantità di informazioni che può tentare di raccogliere.
Si chiama Manic e presenta una caratteristica particolarmente preoccupante: combina le tradizionali tecniche dei banking Trojan con funzioni tipiche degli spyware.
La nuova analisi arriva da ThreatFabric, che afferma di aver individuato infrastrutture legate alla minaccia già nel febbraio 2026. Una variante sensibilmente più evoluta sarebbe poi comparsa a luglio.
Manic non si concentra soltanto sulle applicazioni bancarie.
Il malware controlla complessivamente 169 package ID, cioè gli identificativi utilizzati da Android per riconoscere le singole applicazioni.
L’elenco comprende servizi bancari, pagamenti, criptovalute, messaggistica, browser, email, applicazioni governative e sistemi di autenticazione.
Manic ha 169 app sotto controllo
Il numero delle applicazioni monitorate aiuta a comprendere quanto sia ampio il raggio d’azione di Manic.
Secondo ThreatFabric, tra gli obiettivi troviamo banche, sistemi di pagamento, servizi Buy Now Pay Later, piattaforme di trasferimento di denaro, exchange di criptovalute e wallet digitali.
Ma non finisce qui.
Il malware monitora anche app di messaggistica, browser, client email, sistemi di autenticazione e alcune applicazioni governative dedicate all’identità digitale.
Questa varietà suggerisce che l’obiettivo non sia semplicemente ottenere le credenziali di una singola banca.
Manic tenta piuttosto di raccogliere più informazioni possibili dal dispositivo compromesso.
La campagna individuata dai ricercatori sarebbe rivolta soprattutto all’Ucraina, ma coinvolgerebbe anche istituti e servizi presenti in Germania, Polonia, Repubblica Ceca, Slovacchia, Austria, Francia, Spagna, Estonia, Lituania, Paesi Bassi e Regno Unito.
Manic può sovrapporsi alle app bancarie
Una delle tecniche più interessanti riguarda l’utilizzo di overlay, cioè elementi grafici sovrapposti all’applicazione reale.
Manic può mostrare una copia dell’interfaccia bancaria sopra quella autentica, cercando di far credere all’utente di stare interagendo normalmente con il proprio servizio finanziario.
Il malware può individuare la posizione del tastierino numerico e utilizzare una superficie sovrapposta per intercettare l’interazione.
L’obiettivo è registrare il PIN digitato dall’utente senza impedirgli necessariamente di completare l’operazione.
Accessibilità diventa uno degli strumenti principali
Per funzionare, Manic sfrutta soprattutto due autorizzazioni particolarmente delicate di Android: Servizi di accessibilità e accesso alle notifiche.
Le funzioni di accessibilità sono nate per aiutare gli utenti che hanno bisogno di strumenti aggiuntivi per utilizzare lo smartphone.
Se concesse a un’app malevola, però, possono permettere operazioni estremamente invasive.
ThreatFabric segnala che Manic utilizza queste autorizzazioni anche come una sorta di keylogger e per automatizzare alcune interazioni sul dispositivo.
Una funzione denominata dai ricercatori autoEnterPin tenterebbe inoltre di utilizzare PIN o sequenze precedentemente sottratti sulla schermata di blocco.
È proprio questa combinazione tra furto di dati e capacità operative a rendere Manic differente da un semplice malware dedicato alle credenziali bancarie.
Manic prova anche a disattivare Google Play Protect
La minaccia non si limita a cercare informazioni.
Secondo ThreatFabric, Manic tenta anche di interferire con Google Play Protect, il sistema integrato da Google per individuare applicazioni potenzialmente pericolose.
L’obiettivo è evidente: ridurre le possibilità che il software malevolo venga individuato e rimosso.
Le versioni più recenti del malware possono inoltre nascondere la propria icona dal normale menu delle applicazioni.
Questo rende più difficile accorgersi immediatamente della sua presenza.
Fortunatamente, esistono comunque alcuni controlli che possono aiutare.
Come controllare la presenza di Manic
ThreatFabric ha individuato diversi identificativi associati alle versioni analizzate del malware.
Tra questi troviamo:
tech.intel.dialer.updaterorg.honor.secure.helperorg.lenovo.storage.processordev.huawei.media.helpertech.apple.dialer.schedulerio.motorola.secure.executor
La presenza di uno di questi identificativi nell’elenco delle applicazioni installate merita quindi attenzione.
È possibile controllare anche quali software dispongono dell’autorizzazione ai Servizi di accessibilità e all’accesso alle notifiche.
Se un’app sconosciuta possiede uno di questi permessi senza una ragione evidente, è opportuno verificarne l’origine.
Conviene inoltre controllare che Google Play Protect sia attivo.
Non serve farsi prendere dal panico. Questi controlli possono però essere utili quando uno smartphone mostra comportamenti insoliti oppure quando sono state installate applicazioni provenienti da fonti poco affidabili.
L’evoluzione dei malware
La prima infrastruttura attribuita a Manic risalirebbe a febbraio, mentre la versione osservata a luglio presenterebbe anche sistemi più avanzati per ostacolare l’analisi da parte dei ricercatori.
L’evoluzione nell’arco di pochi mesi è significativa.
I banking Trojan moderni non cercano più soltanto di mostrare una falsa pagina di login.
Possono utilizzare permessi di sistema, intercettare notifiche, osservare l’interazione con altre applicazioni e provare a mantenere un accesso prolungato al dispositivo.
Manic aggiunge a questo approccio una componente da vero e proprio spyware.
Ed è proprio la quantità di applicazioni interessate a rendere la minaccia particolarmente interessante dal punto di vista della sicurezza.
169 obiettivi significano che il malware non si concentra su una singola banca o su un singolo Paese.
Attenzione soprattutto ai permessi concessi
Come spesso accade con le minacce Android, uno dei primi livelli di difesa resta l’attenzione dell’utente.
Installare software da fonti affidabili riduce sensibilmente i rischi.
È inoltre importante evitare di concedere automaticamente permessi molto potenti ad applicazioni che non ne hanno realmente bisogno.
Accessibilità e accesso alle notifiche sono due esempi perfetti.
Un’app legittima può avere ragioni valide per richiederli. Un software sconosciuto che insiste per ottenerli dovrebbe invece far scattare qualche campanello d’allarme.
Manic dimostra ancora una volta quanto i malware stiano diventando complessi.
Non parliamo più soltanto di un Trojan bancario che cerca una password. Manic combina sorveglianza, furto di credenziali, controllo dell’interfaccia e tentativi di indebolire le protezioni dello smartphone.
La buona notizia è che molti dei suoi comportamenti dipendono proprio da autorizzazioni che possiamo controllare.
Articoli che potrebbero interessarti
