Internet non funziona? Il trojan Manic può comunque rubare i dati

I ricercatori di cybersecurity hanno scoperto una nuova famiglia di malware per Android, chiamata Manic. Consente ai criminali di spiare le vittime, rubare le credenziali bancarie e assumere il controllo remoto dei dispositivi infetti.

Ma il suo trucco più insolito è questo: Manic può inviare i dati rubati agli utenti malintenzionati anche quando il dispositivo non dispone di connessione Internet. Apparentemente, le interruzioni casuali di Internet nei dispositivi mobili sembrano intralciare i criminali informatici tanto quanto quelli di chiunque altro, quindi gli autori dietro Manic hanno escogitato una soluzione alternativa insolita.

Sono a rischio persone in diversi paesi europei, dalla Russia al Regno Unito. In questo post illustreremo cosa può effettivamente fare questo trojan, come introduce di nascosto i dati rubati agli utenti malintenzionati e come proteggere il dispositivo Android da Manic e da altre minacce simili.

Come si diffonde Manic e chi è a rischio

I ricercatori non hanno ancora definito esattamente in che modo gli autori degli attacchi stanno diffondendo Manic nei dispositivi degli utenti. In genere, un malware come questo si diffonde attraverso canali quali:

• App infette su app store legittimi
• File APK dannosi condivisi su siti Web piratati
• Collegamenti per il download inviati tramite app di messaggistica ed e-mail
• Siti truffa

Google ha dichiarato ai giornalisti di non aver trovato traccia della diffusione di Manic tramite le app in Google Play Store. Ciò suggerisce che molto probabilmente le persone installano app infette da fonti non ufficiali.

Gli esperti hanno fatto risalire l’inizio dell’infrastruttura degli autori dell’attacco per questa campagna a febbraio 2026. I primi campioni del malware stesso sono stati rilevati a fine maggio di quest’anno. Da allora, i criminali dietro il Trojan hanno perfezionato i modi in cui si nasconde dal rilevamento nel dispositivo della vittima.

Manic attualmente unisce le potenzialità di un Trojan bancario, di uno spyware e di uno strumento di accesso remoto che consente a un utente malintenzionato di controllare il dispositivo. Gli autori dell’attacco sono particolarmente interessati ai dati provenienti da fonti quali:

• App bancarie e servizi di pagamento
• App ufficiali del governo
• Portafogli di criptovaluta e scambi di criptovalute
• App di autenticazione a due fattori.
• SMS e notifiche: principalmente i codici monouso utilizzati per verificare gli accessi o approvare le transazioni

Guardando le app bancarie che Manic ha come target, i ricercatori sono stati in grado di capire quali paesi ha nel mirino. La sua portata è ampia e copre Austria, Repubblica Ceca, Estonia, Francia, Germania, Lituania, Paesi Bassi, Polonia, Russia, Slovacchia, Spagna, Ucraina e Regno Unito.

Password rubate, codici intercettati, controllo remoto: cosa può fare effettivamente Manic

Vediamo esattamente quali informazioni ruba Manic e come riesce a ottenerle. Il trucco principale del malware si basa sull’abuso dei servizi di accessibilità di Android, un set di funzionalità integrate progettate per aiutare gli utenti con problemi di vista. Se utilizzate come previsto, queste funzionalità sono veramente utili per le persone ipovedenti. Ma i criminali sfruttano da tempo silenziosamente gli stessi strumenti per i propri scopi.

Quando un utente concede a un’app l’autorizzazione a utilizzare i servizi di Accessibilità, tale app può “vedere” il testo e i pulsanti sullo schermo, interagire con essi, scorrere le pagine ed eseguire azioni automaticamente, il tutto come se fosse un utente stesso. Gli autori dell’attacco lo utilizzano per leggere i messaggi sullo schermo, concedere silenziosamente al malware autorizzazioni aggiuntive, interferire con i tentativi di disinstallazione, disattivare le protezioni di sicurezza o controllare altre app senza che la vittima se ne accorga.

Con Manic, questo abuso dei servizi di accessibilità è associato alle funzionalità avanzate del Trojan. Può generare una tastiera invisibile che si sovrappone a quella reale del telefono. Quando un utente digita la password per accedere a un’app bancaria, Manic registra esattamente quali tasti sono stati premuti. Quindi utilizza i servizi di accessibilità per riprodurre istantaneamente la stessa sequenza di tasti sulla tastiera dell’app effettiva.

Manic genera un livello di acquisizione trasparente che copre la tastiera del telefono, registrando ogni tocco e trasmettendolo alla tastiera reale. Fonte

Questo significa che gli utenti malintenzionati non devono creare una schermata di accesso falsa per ogni singola app presa di mira. Poiché Manic funziona come un livello invisibile sopra l’app originale, tutto appare e si comporta come al solito, quindi il proprietario di un telefono non ha motivo di sospettare che stia consegnando il PIN o la password a un criminale.

Manic non registra semplicemente tutto ciò che un utente digita. Riconosce automaticamente il tipo di informazioni appena acquisite e le ordina in categorie: password, accessi e-mail, codici SMS da quattro a sei cifre, stringhe di caratteri simili a frasi iniziali di portafogli di criptovaluta e codici di sblocco del telefono o sequenze di blocco. Oltre al testo acquisito stesso, Manic registra anche da quale app proviene, quando è stato immesso, se l’utente l’ha digitato manualmente o ha utilizzato la compilazione automatica e se l’app è presente nell’elenco dei risultati.

Le capacità di Manic non si limitano alla raccolta di informazioni. Utilizzando nuovamente i servizi di accessibilità, consente inoltre agli utenti malintenzionati di assumere il controllo remoto di un dispositivo infetto. Per nascondere questa attività, Manic può mostrare una schermata nera o simulare un aggiornamento di sistema.

Oltre ai servizi di accessibilità, il malware richiede anche l’autorizzazione per leggere messaggi di testo e notifiche. Ciò consente agli utenti malintenzionati di intercettare i codici di autenticazione a due fattori e i codici di verifica monouso prima ancora che la vittima abbia la possibilità di digitarli nell’app.

Nel complesso, questo offre agli autori degli attacchi non solo password, credenziali bancarie e codici di verifica, ma anche la possibilità di controllare in remoto il telefono della vittima.

Anche essere offline non è usa soluzione al furto di dati

Il metodo originale di Manic per ritrasmettere i dati rubati dal dispositivo e tornare agli utenti malintenzionati merita una menzione a parte. Ancora oggi, i dispositivi vengono messi offline più spesso di quanto ci si possa aspettare e i creatori di Manic hanno creato una soluzione alternativa specifica per tali situazioni.

In genere, un malware come questo raccoglie informazioni nel dispositivo e le invia direttamente a un server controllato dagli autori dell’attacco. Ma cosa succede quando il dispositivo infetto non ha accesso diretto a Internet o non può raggiungere il server di comando e controllo per qualche altro motivo?

In tal caso, Manic archivia semplicemente i dati rubati nel dispositivo e avvia la scansione nelle vicinanze alla ricerca di altri telefoni infetti che può raggiungere tramite Wi-Fi o Bluetooth. Se ne trova uno con accesso a Internet, trasmette i dati criptati al telefono, che li inoltra al server degli autori dell’attacco.

Ma le cose non finiscono qui. I dati possono spostarsi attraverso una catena di dispositivi infetti. Per impostazione predefinita, Manic consente di avere un massimo di quattro di questi dispositivi di trasmissione nella catena. Se nessun dispositivo adatto è nelle vicinanze, i dati rimarranno semplicemente nel telefono originale e Manic riproverà in un secondo momento.

Come proteggere il telefono da Manic e da altri trojan bancari

Il malware Android diventa sempre più sofisticato. È opportuno che gli utenti di telefoni e tablet Android ricordino e seguano effettivamente, alcune abitudini di igiene digitale di base:

• Evitare di installare app da fonti non ufficiali.
• Non concedere alle app l’autorizzazione a utilizzare i servizi di accessibilità a meno che non sia assolutamente necessario e sia esattamente chiaro il motivo per cui ne hanno bisogno.
• Installare un software di protezione affidabile in tutti i dispositivi, eseguire scansioni regolarmente e prendere sul serio avvisi e consigli. Noi consigliamo Kaspersky per Android. Le nostre app di protezione Android sono temporaneamente non disponibili su Google Play Store, quindi per installarle su un dispositivo Android è consigliabile utilizzare un app store alternativo o installare manualmente il file APK dal nostro sito Web. Una guida dettagliata è disponibile nel nostro post Come installare o aggiornare le app Kaspersky per Android nel 2026.

Il malware non prende di mira solo gli smartphone; si sente a proprio agio anche su altri dispositivi Android, dagli streaming box alle… auto. Dai un’occhiata ai dettagli nei nostri post correlati:

• Botnet in viaggio: il primo Trojan per le centraline delle auto
• Vulnerabilità Qualcomm: le riparazioni dei telefoni e la manutenzione dell’auto non sono più sicure
• Il tuo box TV affitta la tua rete?
• Un trojan Android si spaccia per servizi statali e app Starlink
• La tempesta perfetta delle minacce Android