Manic roba datos en Android y puede enviarlos mediante móviles infectados cercanos
Índice de contenidos
ThreatFabric ha documentado Manic, una familia de malware para Android activa al menos desde febrero que reúne fraude bancario, vigilancia y control remoto. Su rasgo distintivo es una ruta alternativa para sacar información: si el teléfono no alcanza el servidor del atacante, cifra los datos y busca otro dispositivo infectado mediante Wi-Fi Direct, Bluetooth clásico o BLE. El material puede recorrer hasta cuatro saltos antes de llegar a un móvil con conexión a Internet.
Claves de la noticia
- Manic vigila al menos 169 aplicaciones de banca, identidad electrónica, pagos, criptomonedas, mensajería y autenticación.
- Abusa de Accesibilidad y acceso a notificaciones para capturar PIN, contraseñas, códigos de un solo uso, pantalla y archivos.
- La exfiltración entre pares permite que desconectar un móvil de Internet no detenga el robo si hay otro infectado cerca.
Un troyano bancario que también espía
El foco principal está en Ucrania, con aplicaciones bancarias, gubernamentales y de identidad, aunque la lista alcanza servicios de Rusia, Reino Unido y otros países europeos, además de plataformas globales de criptomonedas. Manic coloca capas transparentes sobre teclados numéricos legítimos, registra cada toque y lo reproduce mediante Accesibilidad para que la aplicación siga funcionando. La víctima completa una operación real mientras el malware aprende el código.
Con permisos de Accesibilidad y notificaciones, puede clasificar texto capturado, interceptar SMS, localizar códigos de entre cuatro y seis dígitos, recoger archivos y ubicación, observar la pantalla y abrir sesiones WebRTC para control remoto. La clasificación facilita que los operadores separen una frase común de una contraseña o una posible semilla de recuperación. Esa combinación amplía el impacto desde una cuenta bancaria hasta correo, autenticadores y monederos.
La red de relevo local
Normalmente el malware intenta comunicarse con su infraestructura por Internet. Si falla, consulta pares conocidos por Wi-Fi Direct y después dispositivos Bluetooth o BLE para averiguar si alguno tiene salida. La cola local usa cifrado AES-GCM y puede reenviarse en varios saltos. Así, un teléfono aislado de la red móvil o de una Wi-Fi corporativa aún podría entregar información a través de otro terminal comprometido dentro del alcance de radio.
La técnica no convierte cualquier móvil cercano en repetidor ni rompe Bluetooth por proximidad. Requiere que el otro dispositivo también esté infectado y forme parte del protocolo de Manic. Su eficacia depende por tanto de la densidad de víctimas y permisos disponibles. Aun con ese límite, desafía una respuesta habitual: cortar Internet deja de ser contención completa en un entorno donde varios teléfonos han recibido el mismo APK malicioso.
Una campaña todavía en evolución
Los investigadores rastrean infraestructura desde febrero. En mayo observaron un envoltorio que instalaba el payload principal y en julio apareció una variante con comprobaciones contra análisis y carga de código DEX en memoria. También evolucionaron el panel y la API de los operadores. El método inicial de infección no está totalmente establecido para todos los casos, aunque se han visto páginas de phishing y aplicaciones que imitan utilidades o marcas conocidas.
Esa incertidumbre aconseja no atribuir cada detección a una única campaña ni asumir que Google Play fue la fuente. La defensa se centra en impedir instalaciones desde portales desconocidos, limitar Accesibilidad a aplicaciones justificadas y mantener Play Protect activo. En empresas, MDM o defensa móvil puede inventariar paquetes, bloquear fuentes externas y alertar de permisos anómalos o descubrimiento constante de pares.
Cómo responder en un teléfono sospechoso
Un dispositivo que muestra aplicaciones desconocidas con Accesibilidad, pantallas superpuestas o actividad Bluetooth no solicitada debe apartarse de datos sensibles y de otros móviles corporativos. La investigación puede requerir modo seguro, captura forense o restablecimiento, según el contexto. Cambiar contraseñas desde el mismo teléfono es arriesgado porque el malware puede leerlas; debe hacerse desde un equipo limpio y revocar sesiones existentes.
También conviene avisar a bancos y revisar operaciones, recuperar autenticadores y comprobar si se expusieron frases de monederos. Desactivar Bluetooth reduce una vía, pero no elimina el payload ni su conexión principal. Manic importa porque combina técnicas conocidas con una arquitectura de salida poco común. No vuelve inútil el aislamiento, pero obliga a incluir las radios locales y los dispositivos vecinos en el perímetro de contención.
Qué conviene seguir
A partir de ahora, la señal más útil será la que aporten el proveedor y los equipos de respuesta con indicadores verificables, versiones afectadas y una cronología completa. Las organizaciones no deberían esperar a conocer una atribución para inventariar su exposición, conservar registros y aplicar la corrección disponible. También conviene documentar las decisiones tomadas: qué sistemas se revisaron, qué credenciales se cambiaron y qué evidencias permiten descartar o confirmar intrusión. Esa disciplina evita dos errores opuestos, minimizar una alerta activa y declarar un compromiso sin pruebas. Cuando aparezcan nuevos detalles, deberán compararse con la configuración real de cada entorno, porque un mismo fallo o campaña puede tener consecuencias distintas según permisos, conectividad y datos accesibles. La comunicación a usuarios y responsables debe separar con claridad la posibilidad técnica, los ataques observados y el daño confirmado. Esa separación permite responder con rapidez sin convertir la incertidumbre inicial en afirmaciones que luego resulten difíciles de corregir.
