Manic: новый Android-троян, который крадёт данные даже в офлайн-режиме
Manic: новый Android-троян, который крадёт данные даже в офлайн-режиме --- Привет, подписчики! На связи команда © DevGeek.iT, 2026 --- Представь: ты заметил что-то подозрительное на телефоне, вырубил Wi-Fi и мобильный интернет в надежде, что злоумышленники не получат твои данные. И тут выясняется, что malware это вообще не остановило. В августе 2026-го ThreatFabric опубликовала разбор Android-трояна Manic, который активен как минимум с февраля. Это не просто очередной банковский троян — он комбинирует функции шпионского ПО и удалённого управления, а главное — умеет передавать украденное через ближайшие заражённые устройства, если у него нет прямого выхода в интернет. --- Как вообще работает эта зараза? Всё начинается с фишинговых сайтов и поддельных APK-файлов, которые маскируются под полезные утилиты. Как только ты устанавливаешь такой файл, Manic запрашивает доступ к Accessibility (спецвозможности) и уведомлениям. Если ты даёшь эти разрешения — считай, что ключи от квартиры переданы. Дальше троян превращается в UI-кейлоггер: он классифицирует всё, что ты вводишь — PIN-коды блокировки, пароли, recovery-фразы от криптокошельков, SMS-коды, логины, длинные сообщения. --- Особенно интересен механизм кражи PIN-кодов. Когда ты открываешь банковское приложение, Manic накладывает поверх цифровой клавиатуры прозрачный слой, который перехватывает каждый твой тап. Он запоминает, что ты нажал, а затем через Android Accessibility "передаёт" этот тап настоящей клавиатуре. В итоге банковское приложение работает как обычно, а мошенники получают твой PIN. Есть даже функция autoEnterPin — она пытается автоматически ввести украденный PIN на экране блокировки, чтобы разблокировать устройство без твоего ведома. --- Но самое дикое — это эксфильтрация данных. Manic шифрует всё собранное AES-GCM и сохраняет локально. Если устройство не может подключиться к C2-серверу напрямую, троян ищет поблизости другие заражённые телефоны через Wi-Fi Direct, классический Bluetooth RFCOMM или BLE GATT. Находит — и передаёт им зашифрованные данные. А те, в свою очередь, пересылают дальше, пока информация не доберётся до устройства с выходом в интернет. По умолчанию цепочка может содержать до четырёх ретрансляторов. --- Фишка от DevGeek: можешь представить это как mesh-сеть для кражи данных. На практике это означает, что даже если ты вырубил интернет на своём телефоне, но рядом есть другой заражённый девайс (например, у соседа или коллеги), твои данные всё равно могут уйти. Я обычно проверяю, какие приложения имеют доступ к Accessibility и уведомлениям — это первое, на что стоит обратить внимание после установки любого софта. Если приложение без явной на то причины просит эти права — это красный флаг. --- Кого конкретно атакует Manic? Список целей внушительный — 169 приложений. В основном это банки и госуслуги Украины, но также российские и европейские финансовые институты, глобальные финтех-сервисы, криптобиржи и кошельки, 2FA-инструменты, мессенджеры, браузеры и даже военные коммуникационные приложения. То есть, если ты пользуешься чем-то из этого списка — ты в зоне риска. --- На что обратить внимание: самый опасный момент — это не сам факт заражения, а то, как сложно его заметить. Manic может скрывать свою активность, показывая чёрный экран или поддельный интерфейс обновления. Он также удаляет свой ярлык с рабочего стола. Новички часто ошибочно думают, что антивирус или отключение интернета решат проблему. В случае с Manic это не так — данные уже скомпрометированы, и троян продолжит попытки их отправить при первой же возможности. --- Примерно так выглядит логика поиска ретрансляторов (псевдокод): ``` if (noDirectInternetConnection()) { peers = scanNearbyDevices(WiFi_Direct, Bluetooth_RFCOMM, BLE_GATT); for (peer in peers) { if (peer.hasInternetAccess()) { sendEncryptedData(peer); break; } else if (hopCount < MAX_HOPS) { relayData(peer, hopCount + 1); } } } ```