O trojan para Android chamado Manic rouba PINs sem utilizar uma tela bancária falsa

A empresa de segurança holandesa ThreatFabric publicou, em 20 de agosto, um relatório sobre uma ameaça ao Android até então não documentada. Ela denomina o malware de Manic, e ele combina dois elementos que normalmente permanecem separados: um trojan bancário criado para roubar dinheiro e um spyware criado para monitorar o proprietário. A campanha tem como alvo principal a Ucrânia. A lista de alvos também inclui bancos na Alemanha, Polônia, República Tcheca, Eslováquia, Áustria, França, Espanha, Países Baixos, Estônia, Lituânia e Reino Unido, além de aplicativos oficiais de identificação eletrônica (eID) em vários desses países.

No total, o Manic monitora 169 IDs de pacotes, os identificadores técnicos de aplicativos individuais. A lista abrange bancos, serviços de pagamento, opções do tipo “compre agora, pague depois”, remessas, corretoras e carteiras de criptomoedas, aplicativos de mensagens, navegadores, clientes de e-mail, aplicativos governamentais de identificação eletrônica e aplicativos autenticadores, que são aqueles que geram o segundo fator de autenticação no login. A ThreatFabric rastreia a primeira infraestrutura até fevereiro de 2026. Uma versão reformulada foi lançada em julho com verificações anti-análise mais robustas.

O PIN é transmitido normalmente, e nenhuma tela bancária falsa aparece

Um trojan bancário clássico sobrepõe uma interface bancária copiada sobre o aplicativo real. Se observar com atenção, é possível percebê-lo. O Manic funciona de maneira diferente. Quando encontra um teclado numérico dentro de um aplicativo-alvo, ele sobrepõe uma superfície transparente exatamente sobre essas teclas. À medida que o usuário toca, o Manic registra a posição, desativa brevemente sua própria interceptação de toque e reproduz o toque no mesmo local por meio dos serviços de acessibilidade do Android. O aplicativo bancário recebe a entrada normalmente e continua a funcionar. Nada na tela parece errado. O PIN ainda acaba nas mãos do invasor. Esse padrão também aparece em outros golpes, nos quais o ataque visa precisamente o sinal no qual as pessoas confiam para perceber que algo está errado.

Uma segunda função, que a ThreatFabric denomina autoEnterPin, atua na tela de bloqueio e tenta inserir sozinha um PIN ou padrão capturado anteriormente. Os serviços de acessibilidade funcionam também como um keylogger. O Manic classifica antecipadamente as entradas capturadas, dependendo se parecem uma entrada na tela de bloqueio, uma frase de recuperação para uma carteira de criptomoedas, um código de SMS de quatro a seis dígitos ou uma senha.

Um segundo celular infectado como saída

A parte mais incomum é a forma como os dados são enviados. Se um dispositivo infectado não conseguir acessar o servidor dos invasores, o Manic criptografa o que coletou e o coloca em uma fila. Em seguida, ele procura outro celular infectado dentro do alcance de rádio via Wi-Fi Direct, Bluetooth ou Bluetooth Low Energy e verifica se esse dispositivo está online. Se encontrar um, o pacote é transferido para lá e, posteriormente, para o servidor. Por padrão, estão configurados até quatro saltos de retransmissão.

Na prática, isso significa que retirar um celular da rede não necessariamente interrompe o vazamento, desde que haja um segundo dispositivo infectado nas proximidades. Trata-se do mesmo erro de raciocínio observado no login de dois fatores, em que um cookie de sessão roubado torna o segundo fator inútil.

Como identificá-lo

O Manic é composto por duas partes: um wrapper que o instala no dispositivo e o próprio implante. Os nomes dos pacotes são escolhidos para soarem como componentes de sistema de fornecedores bem conhecidos. O ThreatFabric lista tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler e io.motorola.secure.executor. A versão de julho remove seu ícone da gaveta de aplicativos, de modo que ele não aparece mais no menu.

Tudo depende de duas permissões: serviços de acessibilidade e acesso a notificações. Para verificar se há algo errado, abra a seção de acessibilidade nas configurações do Android e observe os serviços listados ali. Qualquer item que não pertença claramente a um aplicativo auxiliar que você tenha instalado propositalmente deve ser desativado. O mesmo se aplica ao acesso a notificações. O Manic também tenta desativar o Google Play Protect por meio de toques automatizados; portanto, vale a pena verificar a Play Store também.

A ThreatFabric não informa quantos dispositivos foram afetados, e não há números de infecção para nenhum país específico. A proteção mais simples continua sendo a de sempre: não instale arquivos APK a partir de links ou portais de terceiros, mesmo que a página pareça pertencer a um fornecedor conhecido.