Android tabanlı Manic zararlısı, Ukrayna’daki bankalar ile devlet ve kimlik hizmetlerini hedef alırken; Rusya ve Avrupa’daki finans kurumları, küresel fintech ve kripto servisleri ile askeri iletişim uygulamalarını da radarına aldı. Zararlı yazılımın en sıra dışı yanı, internet bağlantısı olmayan bir telefondan toplanan veriyi yakındaki başka bir enfekte cihaz üzerinden dışarı aktarabilmesi. Araştırmacılar, Manic’in kimlik avı siteleri ve meşru araçları taklit eden indirici uygulamalarla yayıldığını belirtiyor.
Bankacılık zararlısı ile casus yazılımın karışımı
Hollandalı güvenlik şirketinin yaptığı teknik incelemeye göre Manic, Android bankacılık zararlısı ile mobil casus yazılımın kesişiminde duruyor. ThreatFabric, The Hacker News ile paylaşılan teknik raporda zararlının finansal dolandırıcılık kabiliyetlerini daha geniş bir gözetim ve cihaz denetimi setiyle birleştirdiğini yazdı. Şirket, Manic’in hassas uygulamaları hedeflemenin yanında cihazın geniş ölçekte ele geçirilmesine de kapı açtığını aktardı.
Hedef listesi bunu açık biçimde gösteriyor: 169 paket kimliğini izleyen zararlı, bankalar, eşler arası ödeme servisleri, Buy Now Pay Later uygulamaları, kripto cüzdanları ve borsaları, mesajlaşma uygulamaları, devlet ve eID servisleri, tarayıcılar, kimlik doğrulayıcılar ve e-posta istemcilerini izliyor. Listenin büyük kısmını Ukrayna’daki uygulamalar oluşturuyor. Bunun yanında Rusya, Orta ve Batı Avrupa ile Birleşik Krallık’ta kullanılan servisler de hedefler arasında yer alıyor. ThreatFabric, bu hedef setinin bankacılık zararlısı ile casus yazılımın birleşimi olduğuna işaret ettiğini söyledi.
Raporda yer alan değerlendirmeye göre finansal sahtekârlık, Manic’in başlıca amaçlarından biri. Bankalar, ödeme servisleri, kripto borsaları ve cüzdanları, devlet kimliği uygulamaları ve kimlik doğrulayıcılar üzerindeki kapsama bakıldığında, saldırganın kurbanın finansal faaliyetlerini ve kimlik doğrulama süreçlerini aynı anda izlemeye çalıştığı görülüyor. Zararlı aynı zamanda ticari ve askeri iletişim uygulamalarını da hedef alıyor. Bu hedefleme, konum takibi, bildirim izleme, dosya toplama ve uzaktan cihaz gözetimi ile birleştiğinde kurbanın iletişimlerini ve bulunduğu yeri gerçek zamanlı takip etmeye imkân veriyor.
Manic’in dağıtımında kimlik avı siteleri ve indirici uygulamalar kullanılıyor. Araştırmacılar, bu uygulamaların meşru araçları taklit ettiğini ve zararlının bu yöntemle cihaza sızdığını belirtti.
PIN, ekran kilidi ve komuta sunucusuna giden yeni rota
Manic’in en dikkat çeken yönlerinden biri, Android’in erişilebilirlik servislerini ve bildirim izinlerini kötüye kullanması. Bu yöntemle ekran kilidindeki sırları ele geçirebiliyor, sahte katmanlar göstererek hassas bilgileri toplayabiliyor ya da siyah ekran ve güncelleme ekranı benzeri örtülerle kötü niyetli etkinliği gizleyebiliyor. Araştırmacılar, zararlının dokunmatik girişleri yakaladığını; parolaları, tek kullanımlık kodları ve kurtarma ifadelerini topladığını; erişilebilirlik servislerini bir tür “arayüz keylogger”ı gibi kullanarak metni, hangi uygulamada girildiği bilgisiyle birlikte kaydettiğini aktarıyor.
İncelemeye göre yazılım, ekrandaki içerikleri izleyebiliyor, WebRTC oturumu üzerinden cihaza uzaktan etkileşim kurabiliyor, kurbanın adres defterini, arama geçmişini, SMS mesajlarını ve bildirimlerini dışarı aktarabiliyor. Yüklü uygulamaların listesini alabiliyor, verilen bir telefon numarasına ve metne SMS gönderebiliyor, sahte bildirimler gösterebiliyor, seçilen yerel dosyayı silebiliyor, erişilebilirlik servisi üzerinden ekranı kilitleyebiliyor ve arayüz otomasyonu kullanarak Google Play Protect’i devre dışı bırakmayı deneyebiliyor.
Manic’in PIN kodlarını alma yöntemi de alışılmışın dışında. Zararlı, hedef uygulamadaki gerçek sayısal tuş takımının üstüne şeffaf bir katman yerleştiriyor. Kullanıcı bu katmana dokunduğunda, zararlı dokunuşun tam konumunu ve yakınındaki arayüz öğesini kaydediyor. Ardından dokunma yakalamayı kısa süreliğine kapatıp erişilebilirlik servisi API’sinden yararlanarak aynı dokunuşu gerçek tuş takımına aktarıyor. Böylece uygulama normal çalışmaya devam ederken saldırgan PIN kodunu elde ediyor; kurbanın karşısına sahte bir banka ekranı çıkmıyor.
Kalıcılık tarafında arka plan işçileri, alarmlar ile erişilebilirlik ve bildirim servisleri kullanılıyor. Bu bileşenler C2 iletişimini sürdürüyor, komutları işliyor, sıraya alınmış verileri yüklüyor ve çevrimdışı mesh yapısını eşzamanlıyor. Çalışma aralığı derlemeye göre 10 ila 15 dakika arasında değişiyor.
Zararlının ortaya çıkış çizgisi de netleşmiş durumda. İlk alan adı Şubat 2026’da, uydurma bir persona ile kaydedildi. Kısa süre sonra aktif geliştirme başladı; ilk sarmalayıcı uygulama booking app kılığında sunuldu ve implant Mayıs ayı sonunda görüldü. Haziran sonundan Temmuz ortasına kadar faaliyetlerin bırakıldığına dair işaretler var. 13 Temmuz civarında ise ikinci bir dağıtım dalgası belirdi. Yeni sarmalayıcı ve implant sürümünde daha güçlü analiz karşıtı kontroller ve kilit ekranı sırlarını hedefleyen kimlik avı işlevleri bulundu. Bunlara bağlı panel ve API ise 24 ile 28 Temmuz arasında yayına alındı.
APK dosyaları da sarmalayıcı ve implant arasında ayrışıyor: tech.intel.dialer.updater ve org.honor.secure.helper sarmalayıcı olarak kullanılırken, org.lenovo.storage.processor ile dev.huawei.media.helper implant tarafında yer alıyor.
İncelenen sürümler, tehdit aktörünün dosya ve komut sonuçlarını önce şifreli biçimde yerel bir kuyruğa aldığını gösteriyor. Ardından yakındaki enfekte bir eş cihazı bulmak için Wi-Fi Direct, Bluetooth RFCOMM ya da BLE GATT kullanıyor. Eş cihaz bulunursa paket bu cihaza aktarılıyor ve oradan C2 sunucusuna iletiliyor. Manic, çok atlamalı rotaları da destekliyor; sıradaki öğeler varsayılan olarak en fazla dört relay hop ile yapılandırılabiliyor. Yakında başka cihaz yoksa veri kuyrukta tutuluyor ve işlem daha sonra yeniden deneniyor.
Bu mekanizma, internet bağlantısı kesilmiş bir cihazın veri sızdırmasını durdurmak için tek başına yeterli olmayabiliyor. Çünkü Manic, başka bir enfekte Android cihazı geçit olarak kullanabiliyor. İncelemeye göre çevrim içi bir eş cihaz hiç peer bulamazsa Wi-Fi Direct grubu oluşturmayı da deneyebiliyor. Kullanılan derlemelerde ağ adı aynı kalıyor ve grup oluşturma girişimi üç kez tekrarlanıyor.
Araştırmacılar, yeni kuyruklanan her öğe için varsayılan dört atlamalı relay sınırı tanımlandığını; ancak bu değerin yapılandırmayla değiştirilebildiğini aktardı. Relay üst verisi de mevcut hop sayısını taşıyor.
ThreatFabric, yeni kuyruklanan öğelerin dört hop’luk sınırla saklandığını, çevrim içi bir eş cihazın peer bulamadığında Wi-Fi Direct grubu kurabildiğini ve her kullanılan derlemenin aynı ağ adını tercih ettiğini belirtti. Şirket, grup oluşturma girişimlerinin üç denemeye kadar sürdüğünü de aktardı.
Zararlının Mayıs ile Temmuz 2026 arasındaki evrimi, geliştirmenin devam ettiğini gösteriyor. ThreatFabric, daha güçlü analiz karşıtı önlemler ve kilit sırrı odaklı kimlik avı tekniklerinin, Manic’in yeteneklerini genişletmeye devam ettiğine işaret ettiğini bildirdi.