新型 Android 恶意软件 Manic：可借助周边受感染设备窃取外传数据

一款名为 Manic 的新型 Android 恶意软件，针对多个欧洲国家用户，具备特殊降级传输机制：本机无法直连 C2 服务器时，可以借助附近其他被感染设备向外窃取并传出数据。

该恶意软件至少自 2026 年 2 月起就处于活跃状态，集间谍软件、银行欺诈、远程控制能力于一体。至少监控 169 款应用，涵盖银行、政府电子身份、支付工具、加密货币钱包、即时通讯、二次验证（2FA）类程序，攻击重点为乌克兰用户。

移动安全厂商 ThreatFabric 对 Manic 开展分析：该恶意软件在合法应用数字键盘上层部署透明覆盖层，记录用户点击，再通过 Android 无障碍服务复现点击操作，保证原应用可以正常运行，用户很难察觉异常。

一旦获取无障碍权限、通知读取权限，该恶意软件可以完成：捕获锁屏 PIN 码 / 密码、拦截通知与短信、收集文件与位置信息、屏幕监控，通过 WebRTC 会话给攻击者提供设备远程控制能力。 采集到的数据会按类型做分类整理，方便攻击者后续利用。

“Manic 将无障碍服务用作界面键盘记录器。在保存内容前会对捕获文本分类，区分锁屏输入、助记词候选、4‑6 位短信验证码、密码、长消息、邮箱登录信息、普通文本。”——ThreatFabric 博客。

Manic 设计了一套特殊数据外溢机制，当受害主机无法连接命令控制服务器时自动启用： 采集的数据先做加密，通过 Wi‑Fi Direct 或者蓝牙，转发给周边已经中毒的设备。

“Manic 优先尝试已建立的 Wi‑Fi Direct 对等节点，之后扫描蓝牙、BLE 设备，判断对方是否具备互联网接入。必要时支持多跳转发，入队的数据默认最多允许 4 跳中继。”

只要 Wi‑Fi 或者蓝牙通信范围内存在另一台中毒设备，即便本机处于离线断网状态，数据依旧能够被泄露出去。

攻击目标覆盖中东欧、西欧、英国以及俄罗斯使用的各类 App，核心目标是乌克兰的银行、电子政务身份服务，同时包含全球金融科技与加密货币服务。

确切感染传播途径暂未查明。研究人员观测到 5 月末攻击者使用封装器向受害者下发主载荷，之后基础设施不断扩张。 7 月出现新版封装器，增加更强的反分析检测、内存 DEX 加载，同时上线新的管理面板与 API 接口，恶意程序持续迭代升级。

面向 Android 用户安全建议

1. 不要从不明站点、非官方渠道下载 APK 安装包；
2. 仅向可信应用授予无障碍权限，普通 App 一律拒绝该权限；
3. 定期执行 Play Protect 扫描，检测并清除已知恶意程序。