Das Unternehmen für mobile Sicherheit ThreatFabric hat eine neue Android-Schadsoftware namens Manic entdeckt, die seit mindestens Februar 2026 aktiv ist und Nutzer in mehreren europäischen Ländern angreift, mit einem deutlichen Schwerpunkt auf Bank-, Regierungs- und digitalen Identitätsanwendungen in der Ukraine. Die Schadsoftware kombiniert Spionage-, Bankbetrugs- und Fernsteuerungsfunktionen und verfügt über einen ungewöhnlichen Mechanismus, um Daten über infizierte Geräte zu schleusen, die sich in der Nähe des Zielgeräts befinden.
Manic greift mindestens 169 Anwendungen an, darunter Banking- und Regierungsdienste, Zahlungsanwendungen, Kryptowährungs-Wallets, Messaging-Plattformen und Anwendungen für die Zwei-Faktor-Authentifizierung. Die Forscher beobachteten außerdem Angriffe auf Fintech- und Kryptowährungsdienste weltweit sowie auf Anwendungen, die in Mittel- und Westeuropa, im Vereinigten Königreich und in Russland genutzt werden.
Wie sammelt Manic die Daten der Opfer?
Nachdem die Schadsoftware die Berechtigungen für den Bedienungshilfedienst und den Zugriff auf Benachrichtigungen erhalten hat, kann sie den Entsperrcode oder das Entsperrpasswort des Geräts abfangen, Benachrichtigungen und Textnachrichten lesen, Dateien und Standortdaten sammeln sowie den Bildschirm überwachen. Außerdem kann sie den Betreibern über WebRTC-Sitzungen Fernsteuerungsmöglichkeiten gewähren.
Manic verwendet transparente Ebenen über digitalen Tastaturen innerhalb legitimer Anwendungen, um Tastatureingaben des Nutzers abzufangen und sie über Android Accessibility erneut auszuführen, sodass die ursprüngliche Anwendung normal weiterarbeiten kann. ThreatFabric bezeichnet diese Funktion als „Keylogger der Benutzeroberfläche“: Die erfassten Texte werden vor der Speicherung kategorisiert, um Eingaben auf dem Sperrbildschirm, mögliche Wiederherstellungsphrasen für Wallets, aus vier bis sechs Ziffern bestehende SMS-Codes, Passwörter, Anmeldedaten für E-Mail-Konten, lange Nachrichten und gewöhnliche Texte zu unterscheiden.
Was zeichnet den Exfiltrationsmechanismus aus?
Wenn das infizierte Gerät keinen Zugriff auf den Command-and-Control-Server hat, verschlüsselt Manic die Daten und überträgt sie über nahegelegene infizierte Geräte mithilfe von Wi-Fi Direct oder Bluetooth. Die Schadsoftware versucht zunächst, einen vorhandenen Peer über Wi-Fi Direct zu verwenden, und fragt anschließend Geräte in der Nähe, die Bluetooth oder BLE nutzen, um festzustellen, ob diese über eine Internetverbindung verfügen.
Der Mechanismus unterstützt mehrere Hops. Neue Elemente werden standardmäßig auf eine maximale Weiterleitungsgrenze von vier Stufen eingestellt. Praktisch bedeutet dies, dass ein Gerät ohne Internetverbindung möglicherweise weiterhin gestohlene Daten senden kann, wenn sich ein anderes infiziertes Gerät in Reichweite von Wi-Fi oder Bluetooth befindet. Dadurch steigen die Chancen, dass die Informationen die Betreiber der Schadsoftware erreichen.
Entwicklung der Angriffsarchitektur
ThreatFabric hat die ursprüngliche Infektionsmethode bislang nicht genau bestimmt. Ende Mai beobachtete das Unternehmen jedoch den Einsatz eines Software-Wrappers, der die Haupt-Payload zu den Opfern übertrug. In den folgenden Monaten wurde die Infrastruktur erweitert. Im Juli erschien eine aktualisierte Version des Wrappers mit stärkeren Prüfungen zur Analyseabwehr und dem Laden ausführbarer Dateien im DEX-Format in den Speicher sowie mit einem neuen Dashboard und einer neuen API.
Was sollten Android-Nutzer tun?
Es sollte vermieden werden, APK-Dateien aus undurchsichtigen Quellen oder inoffiziellen Portalen herunterzuladen. Außerdem sollte die Accessibility-Berechtigung nur einer vertrauenswürdigen Anwendung erteilt werden, die sie tatsächlich benötigt. Es wird zudem empfohlen, regelmäßig Prüfungen mit Play Protect auszuführen, um bekannte Schadsoftware zu erkennen und zu entfernen.