De Android-trojan Manic steelt pincodes zonder een vals bankscherm te tonen

Het Nederlandse beveiligingsbedrijf ThreatFabric heeft op 20 augustus een rapport gepubliceerd over een tot nu toe niet-gedocumenteerde Android-bedreiging. De malware wordt „Manic“ genoemd en combineert twee elementen die doorgaans gescheiden blijven: een banktrojan die is ontwikkeld om geld te stelen, en spyware die is ontworpen om de eigenaar in de gaten te houden. De campagne is voornamelijk gericht op Oekraïne. De lijst met doelwitten omvat tevens banken in Duitsland, Polen, Tsjechië, Slowakije, Oostenrijk, Frankrijk, Spanje, Nederland, Estland, Litouwen en het Verenigd Koninkrijk, evenals officiële eID-apps in verschillende van deze landen.

In totaal houdt Manic 169 pakket-ID’s in de gaten, de technische identificatiecodes van individuele apps. De lijst omvat banken, betalingsdiensten, ‘nu kopen, later betalen’-diensten, geldovermakingen, cryptobeurzen en -wallets, messenger-apps, browsers, e-mailclients, eID-apps van de overheid en authenticator-apps, dat zijn de apps die de tweede factor genereren bij het inloggen. ThreatFabric traceert de eerste infrastructuur terug tot februari 2026. In juli verscheen een herwerkte versie met strengere anti-analysecontroles.

De pincode wordt doorgegeven en er verschijnt geen vals bankscherm

Een klassieke banktrojan legt een gekopieerde bankinterface over de echte app heen. Als u goed kijkt, kunt u dit opmerken. Manic werkt anders. Wanneer het een numeriek toetsenblok in een doelapp aantreft, legt het een transparant vlak precies over die toetsen heen. Terwijl de gebruiker tikt, registreert Manic de positie, schakelt het kortstondig zijn eigen aanraakonderschepping uit en speelt het de tik op dezelfde plek af via de toegankelijkheidsdiensten van Android. De bankapp ontvangt de invoer zoals gewoonlijk en gaat door. Er is niets op het scherm dat er vreemd uitziet. De pincode komt nog steeds bij de aanvaller terecht. Dit patroon komt ook in andere oplichtingspraktijken voor, waarbij de aanval zich juist richt op het signaal waarop mensen vertrouwen om te merken dat er iets niet klopt.

Een tweede functie, die ThreatFabric „autoEnterPin“ noemt, werkt op het vergrendelingsscherm en probeert zelfstandig een eerder vastgelegde pincode of patroon in te voeren. De toegankelijkheidsdiensten fungeren tevens als een keylogger. Manic sorteert vastgelegde invoer vooraf op basis van of deze lijkt op een invoer op het vergrendelingsscherm, een herstelzin voor een crypto-portemonnee, een vier- tot zescijferige sms-code of een wachtwoord.

Een tweede geïnfecteerde telefoon als uitweg

Het meest opmerkelijke aspect is de manier waarop de gegevens worden verzonden. Als een geïnfecteerd apparaat de server van de aanvallers niet kan bereiken, versleutelt Manic de verzamelde gegevens en plaatst deze in een wachtrij. Vervolgens zoekt het via Wi-Fi Direct, Bluetooth of Bluetooth Low Energy naar een andere geïnfecteerde telefoon binnen het bereik en controleert het of deze online is. Indien er een wordt gevonden, wordt het pakket daarheen verzonden en vervolgens doorgestuurd naar de server. Standaard zijn maximaal vier doorgeefstappen geconfigureerd.

In de praktijk betekent dit dat het loskoppelen van een telefoon van het netwerk het lek niet noodzakelijkerwijs stopt, zolang er een tweede geïnfecteerd apparaat in de buurt ligt. Het is dezelfde denkfout als bij tweefactorauthenticatie, waarbij een gestolen sessiecookie de tweede factor zinloos maakt.

Hoe u dit kunt herkennen

Manic bestaat uit twee onderdelen: een wrapper die het op het apparaat installeert en het implantaat zelf. De pakketnamen zijn zo gekozen dat ze klinken als systeemcomponenten van bekende leveranciers. ThreatFabric noemt tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler en io.motorola.secure.executor. De versie van juli verwijdert het pictogram uit de app-lade, waardoor het helemaal niet meer in het menu verschijnt.

Alles draait om twee machtigingen: toegankelijkheidsdiensten en toegang tot meldingen. Om te controleren of er iets mis is, opent u het gedeelte ‘Toegankelijkheid’ in de Android-instellingen en bekijkt u de diensten die daar worden vermeld. Alles wat niet duidelijk behoort tot een hulpapp die u bewust hebt geïnstalleerd, dient te worden uitgeschakeld. Hetzelfde geldt voor toegang tot meldingen. Manic probeert ook Google Play Protect uit te schakelen door middel van geautomatiseerde tikken, dus het is de moeite waard om ook de Play Store te controleren.

ThreatFabric vermeldt niet hoeveel apparaten zijn getroffen, en er zijn geen infectiecijfers voor afzonderlijke landen beschikbaar. De eenvoudigste bescherming is nog steeds de oude: installeer geen APK-bestanden via links of portals van derden, zelfs niet wanneer de pagina eruitziet alsof deze afkomstig is van een bekende aanbieder.