新型Androidマルウェア「Manic」、近くの端末経由でデータを窃取する仕組みを搭載

複数の欧州諸国のユーザーを狙う新型Androidマルウェア「Manic」に、感染した近くの端末を経由してデータを外部に送信するフォールバック機能が確認されました。

このマルウェアは少なくとも2026年2月から活動しており、スパイウェア、銀行詐欺、遠隔操作の機能を兼ね備えています。

標的となるのは銀行、政府/eID、決済、暗号資産ウォレット、メッセージング、認証/2FAアプリなど少なくとも169種類のアプリで、主にウクライナのユーザーが標的とされています。

モバイルセキュリティ企業ThreatFabricがManicマルウェアを分析したところ、正規アプリの数字キーパッドに透明なオーバーレイを重ねて被害者のタップ操作を捕捉し、Androidのアクセシビリティ機能を通じてその操作を再現することで、正規アプリを通常どおり動作させ続けながら情報を盗み取る手口が判明しました。

アクセシビリティおよび通知アクセスの権限を取得した後、このマルウェアはロック画面のPIN/パスワードを取得し、通知やSMSメッセージを傍受し、ファイルや位置情報を収集し、画面を監視するほか、WebRTCセッションを通じて攻撃者に端末の遠隔操作機能を提供します。

取得された情報は種類ごとに分類されるため、マルウェアの運用者はより容易にデータを悪用できるようになっています。

「Manicはアクセシビリティサービスを、いわばUIキーロガーとして利用しています」とThreatFabricは説明しています。さらに同社は、このマルウェアが「取得したテキストを記録前に分類し、ロック画面の入力、リカバリーフレーズの候補、4〜6桁のSMSコード、パスワード、長文メッセージ、メールのログイン情報、通常のテキストを区別している」と付け加えています。

Manicマルウェアの作者は、感染端末が指令サーバー(C2)に接続できない場合に作動する、異例のデータ窃取メカニズムを実装しています。

研究者によると、データは暗号化された上で、Wi-Fi DirectまたはBluetooth接続を介して近くにある感染端末経由で転送されるとのことです。

「Manicはまず確立済みのWi-Fi Directのピア接続の利用を試み、その後BluetoothおよびBLEのピアに問い合わせてインターネット接続の有無を確認します」とThreatFabricは述べています。

「必要な場合、このマルウェアはマルチホップ経路も利用でき、新たにキューに追加された項目にはデフォルトで最大4ホップの中継が設定されます」

このメカニズムにより、感染した別の端末がWi-FiまたはBluetoothの通信範囲内にありさえすれば、オフライン状態の端末からでもデータを窃取できてしまいます。

ThreatFabricによると、このマルウェアは英国を含む中欧・西欧全域、さらにロシアで使われているアプリを標的にしているとのことです。ただし、主な標的はウクライナの銀行・政府/eIDアプリに加え、グローバルなフィンテックおよび暗号資産関連サービスであるとみられています。

正確な感染経路は依然として不明ですが、研究者は5月下旬に、被害者へメインペイロードを配信するラッパー(wrapper)の使用を確認しており、その後数か月にわたって既存インフラの拡大が進んでいたことも確認されています。

7月には、解析対策(アンチアナリシス)機能を強化し、メモリ上でDEXをロードする更新版ラッパーが攻撃で観測されたほか、新しい管理パネルとAPIも展開されました。

Androidユーザーは、出所不明のサイトや非公式のアプリストアからAPKをダウンロードしないこと、信頼できるアプリでない限りアクセシビリティ権限を許可しないこと、そして既知のマルウェアを検出・除去するためGoogle Play Protectによるスキャンを定期的に実行することが推奨されます。