Android木马“Manic”无需伪造银行界面即可窃取PIN码

荷兰安全公司ThreatFabric于8月20日发布了一份报告，披露了一种此前未被记录的Android威胁。该恶意软件被命名为“Manic”，它融合了通常互不相干的两种功能：旨在窃取资金的银行木马，以及用于监视用户的间谍软件。此次攻击活动主要针对乌克兰。 目标清单还涵盖了德国、波兰、捷克共和国、斯洛伐克、奥地利、法国、西班牙、荷兰、爱沙尼亚、立陶宛和英国的银行，以及其中几个国家的国家电子身份证应用。

总计而言，“Manic”监控着169个包ID（即各应用程序的技术标识符）。该清单涵盖了银行、支付服务、“先买后付”服务、汇款、加密货币交易所和钱包、即时通讯软件、浏览器、电子邮件客户端、政府电子身份证应用以及身份验证应用——后者是在登录时生成第二重验证码的应用。 ThreatFabric 追踪到该基础设施最早可追溯至 2026 年 2 月。7 月份出现了一个经过重构的版本，其中包含更强大的反分析检测机制。

PIN 码顺利通过，且不会出现伪造的银行界面

经典的银行木马会将复制的银行界面覆盖在真实应用之上。只要仔细观察，就能发现破绽。而 Manic 的运作方式截然不同。当它在目标应用中发现数字键盘时，会将一个透明层精确地覆盖在这些按键上。 当用户点击时，Manic 会记录位置，短暂关闭自身的触摸拦截功能，并通过 Android 的辅助功能服务在同一位置重放点击操作。银行应用会像往常一样接收输入并继续运行。屏幕上没有任何异常。 PIN码最终仍会落入攻击者手中。这种模式在其他诈骗中也屡见不鲜，攻击者正是精准地针对人们用来察觉异常的信号发起攻击。

ThreatFabric 称之为“autoEnterPin”的第二项功能在锁屏界面运行，会尝试自动输入先前捕获的 PIN 码或图案。 辅助功能服务同时充当了键盘记录器。Manic会预先根据输入内容是否类似于锁屏输入、加密钱包的恢复短语、4至6位的短信验证码或密码，对捕获的输入进行分类。

第二部受感染的手机作为突破口

最不同寻常的是数据的传输方式。 如果受感染设备无法连接到攻击者的服务器，Manic 会将收集到的数据加密并放入队列中。随后，它会通过 Wi-Fi Direct、蓝牙或蓝牙低功耗（BLE）在无线电覆盖范围内搜索另一部受感染手机，并检查该设备是否在线。如果找到，数据包就会传输到该设备，并由此转发至服务器。 默认配置最多支持四个中继跳转。

实际上，这意味着只要附近还有另一部受感染的设备，将手机断开网络并不一定能阻止数据泄露。这与双因素认证中的思维误区如出一辙——一旦会话 Cookie 被盗，第二重验证便形同虚设。

如何识别

Manic 由两部分组成：一个用于将其植入设备的封装程序，以及植入程序本身。其包名被刻意设计成与知名厂商的系统组件名称相似。 ThreatFabric 列出了 tech.intel.dialer.updater、org.honor.secure.helper、org.lenovo.storage.processor、dev.huawei.media.helper、tech.apple.dialer.scheduler 以及 io.motorola.secure.executor。 7 月的版本已将其图标从应用抽屉中移除，因此它完全不会再出现在菜单中。

一切都取决于两个权限：辅助功能服务和通知访问权限。要检查是否存在异常，请打开 Android 设置中的“辅助功能”部分，查看其中列出的服务。 任何不属于您刻意安装的辅助应用的服务，都应予以关闭。通知访问权限的处理原则同样适用。Manic 还会通过自动点击尝试禁用 Google Play Protect，因此也建议检查一下 Play 商店。

ThreatFabric 并未透露受影响的设备数量，也没有任何单个国家的感染数据。最简单的防护措施依然是老办法：不要安装来自链接或第三方门户网站的 APK 文件，即使该页面看起来像是知名厂商的网站也不要安装。