Manicと名付けられた新種のAndroidマルウェアファミリーが確認されました。銀行詐欺機能、スパイウェア機能、リモートアクセス機能を単一のプラットフォームに統合している点が特徴です。
ThreatFabricのMobile Threat Intelligenceチームによると、このマルウェアの注目すべき点は珍しいピアリレー機構を備えていることです。被害者のデバイスが直接インターネットに接続できない場合、近くにある侵害済みのスマートフォンを経由して盗んだデータを外部に送信できます。
Manicは少なくとも2026年2月から活動しており、インフラと開発活動は春を通じて拡大してきました。
7月までに、運用者はより高度なビルドを導入しました。強化された解析対策チェック、メモリ内でのDEXロード、そしてロック画面での認証情報フィッシング機能を備えています。
このマルウェアは、銀行、決済、暗号資産、政府発行の身分証明、認証、メール、ブラウザ、メッセージングの各アプリにまたがる169種類のAndroidパッケージIDを監視します。
主な標的はウクライナとみられ、ウクライナの銀行、eIDサービス、メッセージングツールが対象に含まれています。ただし標的リストには、ロシア、ポーランド、ドイツ、チェコ、スロバキア、英国、その他の欧州諸国で利用されているサービスや、世界的なフィンテック・暗号資産プラットフォームも含まれています。
一般的なAndroidバンキングトロイの木馬とは異なり、Manicは必ずしも認証情報の窃取にフルスクリーンの偽ログイン画面を用いるわけではありません。代わりに、Android のアクセシビリティ権限を悪用し、正規の銀行アプリ内のテンキー上に透明なレイヤーを重ねて表示することができます。
被害者がPINを入力すると、Manicはタップした位置や関連するインターフェース要素を記録します。
その後、一時的にタッチの傍受を停止し、アクセシビリティサービスを通じて同じ操作を再現することで、正規の銀行アプリがPINを受け取り、通常どおり処理を続けられるようにします。
これにより、マルウェアは機密情報の入力を捕捉しながら、ユーザーの目には取引が正常に行われているように見せかけることができます。ThreatFabricはさらに、デバイスのロック画面PINやパターンを取得・再利用するために設計された別個の機能も確認しています。
通知監視、SMS収集、認証コードへのアクセスと組み合わせることで、これらの機能は攻撃者がセキュリティ管理をすり抜け、金融セッションを乗っ取る手助けとなります。
Manicは運用者に対し、広範な監視機能とデバイス制御機能を提供します。そのコマンドセットは、SMSメッセージ、通話履歴、連絡先、通知、インストール済みアプリ、ファイル、スクリーンショット、位置情報を収集できます。
さらに、SMSメッセージの送信、USSDコードの実行、ファイルのダウンロードや削除、UIオートメーションによるGoogle Play Protectの無効化の試行も可能です。
このマルウェアはWebRTCベースのリモート制御セッションを確立でき、運用者はアクセシビリティ権限を利用して被害者の画面を閲覧し、デバイスを操作できます。
こうした活動の最中、Manicは黒い画面や偽のアップデート画面などのオーバーレイを表示し、悪意ある操作や権限要求のプロンプトを被害者から隠すことがあります。
金融サービスに加えて商用・軍事志向のメッセージングアプリも監視対象に含まれていることから、運用者は直接的な金銭窃取だけでなく、より広範な情報収集も狙っている可能性があります。
Manicの最も特徴的な機能は、蓄積転送型のリレーシステムです。感染したデバイスがコマンド&コントロールサーバーに接続できない場合、収集したデータをAES-GCMで暗号化し、ローカルにキューイングします。
その後マルウェアは、Wi-Fi Direct、Bluetooth RFCOMM、またはBluetooth Low Energyを介して、近くにある別の感染デバイスを探索します。インターネット接続を持つピアが見つかった場合、暗号化されたパッケージをそのデバイスに転送し、攻撃者が管理するインフラへ最終的に届けます。
Manicはマルチホップ経路も利用でき、新たにキューイングされたデータはデフォルトで最大4ホップのリレーを経由するよう設定されています。この仕組みはインシデント対応を複雑にします。1台の侵害されたスマートフォンをインターネットから切り離しても、無線の届く範囲内に別の感染デバイスが残っていれば、データ窃取を防げない可能性があるためです。
ユーザーはAPKのサイドローディングを避け、アクセシビリティおよび通知権限の要求を注意深く精査し、Google Play Protectを有効にしておく必要があります。
防御側にとってManicは、Androidバンキングマルウェアが認証情報の窃取にとどまらず、デバイスの完全な乗っ取りツールへとますます進化していることを改めて示す事例といえます。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
セキュリティチームに、疑わしい活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。 ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/manic-android-malware-steals-banking-pins-takes-remote-control/
