新たなAndroidマルウェア「Manic」、169アプリを標的にPINを窃取しWi-Fiメッシュ経由でデータを流出

銀行詐欺機能と高度なスパイウェア・遠隔操作機能を組み合わせた、Manicと呼ばれる新種のAndroidマルウェアファミリーが発見されました。

アンチマルウェアソフトウェア

この攻撃基盤は2026年2月まで遡って稼働しており、初期のラッパーおよびインプラントは5月下旬から確認されています。

Manicは7月にかけて急速に進化を遂げ、解析対策の強化、メモリ内でのDEXロード、ロック画面フィッシング、そしてコマンド&コントロール基盤の拡張を実装しています。

新たなAndroidマルウェア「Manic」

Manicは、銀行、決済、暗号資産、本人確認、メッセージング、ブラウザ、メールアプリなど、さまざまな分野にわたる169の特定のAndroidパッケージIDを標的にしています。

主な標的はウクライナで、現地の金融機関、政府サービス、電子本人確認プラットフォーム、通信アプリケーションを特に狙っています。

ただし、ロシア、ポーランド、チェコ、スロバキア、オーストリア、ドイツ、フランス、スペイン、オランダ、エストニア、リトアニア、英国の銀行やサービスも対象に含まれています。

さらに、世界各地の暗号資産取引所、ウォレット、フィンテックプラットフォーム、認証アプリケーション、軍事関連のメッセージングサービスも標的としています。

この標的の選定傾向から、Manicは金融詐欺と監視活動の両方を目的として設計されていることがうかがえます。感染端末からは、金融取引セッション、SMSメッセージ、通知、ファイル、位置情報、ブラウザの閲覧履歴、通信内容などの情報が攻撃者の手に渡る可能性があります。

インストール後、このマルウェアはユーザー補助（Accessibility）サービスと通知リスナーの権限取得を試み、幅広い端末乗っ取りの動作フローを可能にします。

これらの権限により、Manicはユーザーインターフェース操作の自動化、画面表示情報の収集、入力内容の傍受、そしてアプリケーションへの遠隔操作を実行できるようになります。

Manicの重要な特徴の一つが、ユーザー補助機能を悪用したUIキーロガーです。このマルウェアは取得した入力内容を分類し、ロック画面の認証情報、リカバリーフレーズ、4桁から6桁のSMS認証コード、パスワード、長文メッセージ、メールログイン情報などを識別します。

アンチマルウェアソフトウェア

取得された各記録には、アプリケーション名、パッケージID、タイムスタンプ、入力元、そしてそのアプリがManicの標的に含まれるかどうかの情報が付加されます。これにより攻撃者は、銀行アプリや暗号資産アプリに関連する認証情報を優先的に狙うことが可能になります。

Manicはまた、従来型のフィッシングオーバーレイを回避する高度なPIN窃取機能も備えています。pinPadOverlay機能は、標的の銀行アプリ内にあるテンキーを識別し、そのテンキー部分にのみオーバーレイを重ねます。

被害者が数字をタップすると、マルウェアはそのタップ位置と周辺のインターフェース要素を記録し、一時的にタッチの傍受を解除したうえで、ユーザー補助機能を通じてその操作を再現します。この結果、正規の銀行アプリには元の入力がそのまま伝わるため、被害者のセッションは通常どおり継続する一方で、PINは裏で窃取されてしまいます。

autoEnterPin機能は、以前に保存された認証情報やパターンの入力を試みることで、Androidのロック画面を標的にします。偽の黒画面やアップデート画面、権限確認画面と組み合わせることで、この機能は遠隔操作セッション中に不正行為を隠蔽する役割を果たします。

ManicはWebRTCベースの遠隔アクセスに対応しており、画面のリアルタイム監視、ユーザー補助機能を利用した操作、スクリーンショットの取得、さらにはフロントカメラを使ったセッションも可能とみられます。

特に注目すべきは、Manicがデータ流出にストア&フォワード方式のWi-Fiメッシュ機構を採用している点です。窃取されたデータはAES-GCMで暗号化され、端末内のローカルキューに格納されます。

コマンド&コントロール基盤への直接アクセスができない場合、Manicは Wi-Fi Direct、Bluetooth RFCOMM、またはBLE GATTを使って近くにある感染端末を探索します。

ThreatFabricのMobile Threat Intelligenceチームによると、インターネットに接続された感染端末は、暗号化されたパッケージをコマンド&コントロールサーバーへ中継できるとのことで、デフォルトでは最大4ホップまでの中継が設定されています。

この機能により、たとえ感染端末をインターネットから遮断しても、近くに別の感染端末が存在する場合、データ窃取を完全に防ぐことはできない可能性があります。

辞書& 百科事典

IOC（侵害指標）データ一覧

注: 誤った名前解決やハイパーリンク化を防ぐため、IPアドレスおよびドメインは意図的に無害化表記（例: [.]）にしてあります。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

調査の遅れによるインシデント発生を防ぎましょう。15,000のSOCから得た脅威インテリジェンスで、Tier 1のセキュリティ運用を強化できます。 TI Lookupを自社SOCに統合する