V hľadáčiku je aj Slovensko. Nový Android malvér ti vie ukradnúť PIN priamo z bankovej aplikácie
Nový Android malvér Manic kradne PIN, heslá a SMS kódy priamo z telefónu. Medzi jeho cieľmi sú aj bankové a eID aplikácie zo Slovenska.
Pri bankových podvodoch sme si zvykli najmä na falošné prihlasovacie stránky či napodobeniny aplikácií. Nový Android malvér Manic však pri kradnutí PIN-u z bankovej aplikácie nič podobné nepotrebuje. Usadí sa priamo v telefóne, na číselník legitímnej aplikácie položí prakticky neviditeľnú vrstvu a zaznamenáva, kam ťukáš. Banková aplikácia pritom ďalej funguje normálne. Ty zadáš PIN a pokračuješ ďalej, no rovnaký vstup už má uložený aj malvér.
Slovenské bankové a eID aplikácie sú medzi cieľmi
Bezpečnostný tím ThreatFabric opisuje Manic ako kombináciu bankového malvéru a spyware. Sleduje 169 identifikátorov aplikácií. Ide najmä o bankové a platobné appky, kryptomenové služby, vládne aplikácie, autentifikátory či messengery. V hľadáčiku má aj prehliadače, e-mailových klientov a niektoré komunikačné nástroje používané vo vojenskom prostredí.
Najviac cieľov pochádza z Ukrajiny. Zoznam však siaha aj do ďalších európskych krajín vrátane Poľska, Česka, Nemecka či Spojeného kráľovstva. Medzi cieľmi je výslovne aj Slovensko, a to pri bankových aj vládnych a eID aplikáciách. ThreatFabric síce nehovorí o konkrétnych slovenských obetiach, no je jasné, že útočníci majú v hľadáčiku aj aplikácie používané u nás.
Infraštruktúru spojenú s Manicom výskumníci vystopovali do februára 2026. V nasledujúcich mesiacoch pribúdali ďalšie služby a koncom mája zachytili prvý wrapper spolu so samotným implantom. Júlová verzia už obsahovala silnejšie ochrany proti analýze, načítavanie DEX kódu priamo do pamäte a phishing zameraný na získanie kódu na odomknutie zariadenia. Objavil sa aj nový riadiaci panel a API.
PIN kradne priamo zo skutočnej bankovej aplikácie
Mnohé bankové trójske kone sa snažia obeť dostať na podvodnú obrazovku, ktorá vyzerá ako prihlasovanie do banky. Manic vie falošné obrazovky a overlaye používať tiež, no pri kradnutí PIN-u si vystačí so skutočnou bankovou aplikáciou.
Neprehliadni
Manic položí na číselník bankovej aplikácie neviditeľnú vrstvu. Keď napríklad ťukneš na číslo 5, malvér si tento dotyk zapamätá a zároveň ho cez Android Accessibility pošle ďalej do skutočnej bankovej aplikácie. Tá preto funguje úplne normálne a ty nemusíš spozorovať nič podozrivé. Manic však už vie, ktoré číslo si stlačil.
Na obrazovke sa preto nemusí stať nič podozrivé. Banková aplikácia dostane PIN a pokračuje normálne, zatiaľ čo Manic si jednotlivé dotyky zaznamená.
Na zamykacej obrazovke používa funkciu autoEnterPin. Tá skúša zadať už získaný PIN alebo gesto. Ak malvér pozná správny údaj, môže ho použiť na odomknutie telefónu.
Manic si cez jedno oprávnenie číta heslá, SMS kódy aj to, čo píšeš
Keď Manic získa prístup k Accessibility a notifikáciám, vie sledovať text zobrazený v rozhraní aplikácií. Zaujíma ho najmä to, čo môže útočníkovi pomôcť dostať sa k účtom alebo peniazom. Rozpoznáva napríklad heslá, SMS kódy, prihlasovacie údaje či možné recovery phrases kryptomenových peňaženiek.
Ku kradnutému textu si pripája aj ďalšie údaje. Vie, z ktorej aplikácie pochádza, kedy ho zachytil a či ho používateľ napísal ručne alebo vložil cez Autofill.
Manic dokáže zo zariadenia zbierať aj SMS správy, notifikácie a súbory či sledovať jeho polohu. Cez WebRTC môže operátor sledovať obrazovku v reálnom čase a telefón vzdialene ovládať. Dotyky a ďalšie úkony opäť vykonáva cez Accessibility.
Aby obeť nič nezbadala, môže malvér prekryť obrazovku čiernou plochou, falošnou obrazovkou alebo imitáciou aktualizácie. ThreatFabric uvádza, že takto dokáže schovať aj niektoré systémové výzvy na udelenie oprávnení.
Dáta si medzi sebou posúvajú infikované telefóny v okolí
Najnezvyčajnejšiu funkciu Manic využije vtedy, keď sa napadnutý telefón nevie pripojiť k riadiacemu C2 serveru. Zozbierané súbory a výsledky príkazov zašifruje pomocou AES-GCM a uloží ich do telefónu. Potom skúsi nájsť v okolí ďalšie zariadenie infikované rovnakým malvérom.
Na spojenie používa Wi-Fi Direct, Bluetooth RFCOMM alebo BLE GATT. Najprv skúsi už vytvoreného Wi-Fi Direct peera. Ak ho nemá, preverí ďalšie infikované zariadenia v dosahu Bluetooth a BLE a zisťuje, či niektoré z nich má prístup na internet.
Keď také zariadenie nájde, pošle mu zašifrovaný balík. Ak nie, dáta zostanú uložené a prenos skúsi neskôr. Údaje navyše nemusia putovať iba cez jediný telefón. ThreatFabric uvádza predvolený limit štyroch relay hops, čiže štyroch preskokov medzi infikovanými zariadeniami.
Napadnutý telefón teda nemusí byť priamo pripojený na internet, aby z neho dáta nakoniec odišli. Stačí, ak sa v jeho dosahu objaví ďalší telefón s Manicom, ktorý sa už k serveru útočníkov pripojiť vie.
Manic však nedokáže takto využiť hocijaký telefón v okolí. Potrebuje zariadenie, na ktorom už rovnaký malvér beží. ThreatFabric zároveň neuvádza, že by sa cez Bluetooth alebo Wi-Fi Direct šíril. Tieto spojenia slúžia na presun ukradnutých dát, nie na infikovanie ďalších zariadení.
Ako sa Manic dostáva do telefónov, zostáva záhadou
ThreatFabric zatiaľ nezistil, ako presne sa prvá škodlivá aplikácia dostane k obeti. Koncom mája výskumníci zachytili wrapper, teda zavádzač, ktorý do zariadenia doručoval hlavný škodlivý kód. Samotný prvotný spôsob šírenia však zostáva neznámy.
Základná obrana sa preto nemení. Nesťahuj APK súbory z pochybných webov a pri žiadostiach o Accessibility spozorni. Toto oprávnenie dáva aplikácii veľmi široké možnosti a Manic na ňom stavia veľkú časť svojich funkcií.
Ak máš podozrenie, že si do telefónu nainštaloval niečo škodlivé, začni kontrolou telefónu cez Google Play Protect. Pozri sa aj na zoznam nainštalovaných aplikácií a skontroluj, ktoré z nich majú prístup k Accessibility alebo notifikáciám. Ak tam nájdeš aplikáciu, ktorú nepoznáš alebo takéto oprávnenie vôbec nepotrebuje, je to dôvod spozornieť.
