モバイルセキュリティ企業ThreatFabricは、Manicという新たなAndroidマルウェアを確認した。少なくとも2026年2月から活動し、複数の欧州諸国のユーザーを標的としており、ウクライナの銀行、政府、デジタルIDアプリに明確な重点を置いている。このマルウェアは、スパイ活動、銀行詐欺、リモート制御の機能を組み合わせており、標的端末の近くにある感染端末を介してデータを持ち出す、珍しい仕組みを備えている。
Manicは、銀行・政府サービス、決済アプリ、暗号資産ウォレット、メッセージングプラットフォーム、二要素認証アプリを含む、少なくとも169個のアプリを標的としている。研究者らはまた、世界各地のフィンテックおよび暗号資産サービスに加え、中央・西ヨーロッパ、英国、ロシアで利用されているアプリも標的になっていることを確認した。
Manicはどのように被害者のデータを収集するのか？
アクセシビリティサービスの権限と通知へのアクセス権を取得すると、このマルウェアは端末のロック解除コードやパスワードを取得し、通知やSMSを読み取り、ファイルと位置情報を収集し、画面を監視できる。さらに、WebRTCセッションを通じてオペレーターにリモート制御機能を提供する。
Manicは、正規アプリ内のデジタルキーボード上に透明なレイヤーを重ね、ユーザーのタップを取得してAndroid Accessibilityを介して再実行する。これにより、元のアプリは通常どおり動作し続ける。ThreatFabricはこの機能を「ユーザーインターフェース・キーロガー」と表現している。取得したテキストは保存前に分類され、ロック画面への入力、ウォレットのリカバリーフレーズとみられる文字列、4～6桁のSMSコード、パスワード、メールのログイン情報、長文メッセージ、通常のテキストを区別する。
データ持ち出しの仕組みの特徴は何か？
感染端末がコマンド・アンド・コントロールサーバーにアクセスできない場合、Manicはデータを暗号化し、Wi‑Fi DirectまたはBluetoothを使って近くの感染端末へ転送する。まずWi‑Fi Direct上に存在するピアの利用を試み、その後、BluetoothまたはBLEを使用する近隣端末に対して、インターネット接続を持っているかどうかを問い合わせる。
この仕組みは複数ホップの経路に対応しており、新たな要素にはデフォルトで最大4段階のリレー上限が設定されている。実際には、インターネットに接続していない端末でも、Wi‑FiまたはBluetoothの範囲内に別の感染端末が存在すれば、盗んだデータを送信できる可能性がある。これにより、情報がマルウェアのオペレーターに届く機会が広がる。
攻撃基盤の進化
ThreatFabricは、初期感染の方法をまだ正確には特定していない。しかし5月下旬には、被害者に主要ペイロードを配信するソフトウェアラッパーの使用を確認し、その後数か月にわたってインフラが拡張された。7月には、解析耐性を高めるチェックと、メモリ内へのDEX形式実行ファイルのロードを備えたラッパーの更新版が登場し、新たなコントロールパネルとAPIも導入された。
Androidユーザーは何をすべきか？
不審な提供元や非公式ポータルからAPKファイルをダウンロードすることを避け、実際に必要としている信頼できるアプリ以外にはAccessibility権限を付与しないようにすべきである。また、既知のマルウェアを検出して削除するため、Play Protectのスキャンを定期的に実行することが推奨される。