A empresa de segurança móvel ThreatFabric identificou um novo malware para Android chamado Manic, ativo desde pelo menos fevereiro de 2026 e direcionado a usuários em vários países europeus, com foco claro em aplicativos bancários, governamentais e de identidade digital na Ucrânia. O malware combina recursos de espionagem, fraude bancária e controle remoto, enquanto sua arquitetura inclui um mecanismo incomum para exfiltrar dados por meio de dispositivos infectados localizados perto do dispositivo-alvo.
O Manic tem como alvo pelo menos 169 aplicativos, incluindo serviços bancários e governamentais, aplicativos de pagamento, carteiras de criptomoedas, plataformas de mensagens e aplicativos de autenticação de dois fatores. Os pesquisadores também identificaram ataques contra serviços de tecnologia financeira e criptomoedas em todo o mundo, além de aplicativos usados na Europa Central e Ocidental, no Reino Unido e na Rússia.
Como o Manic coleta os dados das vítimas?
Após obter as permissões do serviço de acessibilidade e acesso às notificações, o malware consegue capturar o código ou a senha de desbloqueio do dispositivo, ler notificações e mensagens de texto, coletar arquivos e dados de localização, monitorar a tela e conceder aos operadores a capacidade de controlar o dispositivo remotamente por meio de sessões WebRTC.
O Manic usa camadas transparentes sobre teclados digitais dentro de aplicativos legítimos para capturar os toques do usuário e reproduzi-los por meio do Android Accessibility, permitindo que o aplicativo original continue funcionando normalmente. A ThreatFabric descreve esse recurso como um “keylogger da interface do usuário”, pois classifica os textos capturados antes de armazená-los, distinguindo entradas da tela de bloqueio, possíveis frases de recuperação de carteiras, códigos SMS de quatro a seis dígitos, senhas, dados de login de e-mail, mensagens longas e textos comuns.
O que diferencia o mecanismo de exfiltração?
Quando o dispositivo infectado não consegue acessar o servidor de comando e controle, o Manic criptografa os dados e os transfere por meio de dispositivos infectados próximos usando Wi‑Fi Direct ou Bluetooth. O malware começa tentando usar um par disponível via Wi‑Fi Direct e, em seguida, consulta dispositivos próximos que usam Bluetooth ou BLE para verificar se eles têm conexão com a internet.
O mecanismo oferece suporte a rotas com múltiplos saltos, com os novos elementos configurados por padrão para um limite máximo de quatro etapas de retransmissão. Na prática, isso significa que um dispositivo sem conexão com a internet ainda pode enviar dados roubados se houver outro dispositivo infectado dentro do alcance do Wi‑Fi ou Bluetooth, ampliando as chances de as informações chegarem aos operadores do malware.
Evolução da infraestrutura de ataque
A ThreatFabric ainda não determinou com precisão o método original de infecção, mas identificou, no fim de maio, o uso de um invólucro de software que entregava a carga principal às vítimas, seguido pela expansão da infraestrutura nos meses seguintes. Em julho, surgiu uma versão atualizada do invólucro, com verificações mais robustas contra análise e carregamento de arquivos executáveis no formato DEX na memória, além de um novo painel de controle e uma nova API.
O que os usuários de Android devem fazer?
É recomendável evitar o download de arquivos APK de fontes obscuras ou portais não oficiais e não conceder a permissão de acessibilidade, exceto a um aplicativo confiável que realmente precise dela. Também é aconselhável executar regularmente verificações do Play Protect para detectar e remover malwares conhecidos.