Malware Android Baru Manic Bisa Mencuri Data Melalui Perangkat Terdekat

Malware Android baru bernama Manic ditemukan menargetkan pengguna di sejumlah negara Eropa dengan kemampuan mencuri data sensitif, melakukan penipuan perbankan, serta memberikan kendali jarak jauh kepada operator.

Yang membuat Manic berbeda dari banyak malware Android lainnya adalah mekanisme exfiltration yang memungkinkan data hasil curian dikirim melalui perangkat lain yang berada di sekitar korban. Teknik tersebut dapat digunakan sebagai jalur cadangan ketika perangkat yang terinfeksi tidak dapat terhubung langsung ke server command-and-control (C2).

Manic telah aktif setidaknya sejak Februari 2026 dan diketahui menargetkan sedikitnya 169 aplikasi yang mencakup layanan perbankan, pemerintah dan eID, pembayaran, cryptocurrency wallet, messaging, hingga aplikasi authenticator dan 2FA.

Ukraina menjadi salah satu target utama operasi tersebut.

Manic menggabungkan spyware dan banking malware

Peneliti keamanan mobile menemukan bahwa Manic memiliki kombinasi kemampuan spyware, banking fraud, serta remote access.

Malware tersebut memanfaatkan Android Accessibility Service untuk memantau interaksi korban dengan perangkat. Salah satu teknik yang digunakan adalah menampilkan overlay transparan di atas keypad numerik aplikasi yang sah.

Ketika korban memasukkan PIN atau informasi lain, Manic dapat menangkap input tersebut dan kemudian mereproduksinya melalui Accessibility Service. Dengan cara ini, aplikasi asli tetap dapat berfungsi seperti biasa sehingga aktivitas malware lebih sulit disadari korban.

Teknik tersebut pada dasarnya mengubah Accessibility Service menjadi semacam UI keylogger.

Manic juga mampu mengklasifikasikan teks yang ditangkap berdasarkan jenis informasi. Data yang dapat dikenali mencakup input pada lock screen, kemungkinan recovery phrase, kode SMS empat hingga enam digit, password, kredensial email, pesan panjang, dan teks biasa.

Kemampuan tersebut membuat hasil pencurian lebih mudah dipilah dan dimanfaatkan oleh operator malware.

Dapat mencuri PIN, SMS, file, dan lokasi

Setelah memperoleh izin Accessibility dan akses terhadap notifikasi, Manic dapat mengumpulkan berbagai informasi dari perangkat korban.

Malware ini dapat menangkap PIN atau password untuk membuka perangkat, membaca notifikasi dan SMS, mengambil file, mengumpulkan informasi lokasi, serta memantau aktivitas pada layar.

Manic juga memberikan kemampuan remote control kepada operator melalui sesi WebRTC, sehingga penyerang dapat berinteraksi dengan perangkat yang telah dikompromikan dari jarak jauh.

Kombinasi kemampuan tersebut membuat Manic tidak hanya berfungsi sebagai banking malware yang menargetkan transaksi keuangan, tetapi juga sebagai spyware dengan kemampuan pengawasan perangkat yang cukup luas.

Data bisa dikirim melalui perangkat korban lain

Salah satu fitur paling menarik sekaligus mengkhawatirkan dari Manic adalah mekanisme pengiriman data alternatif ketika koneksi langsung ke server C2 tidak tersedia.

Dalam kondisi normal, malware akan mencoba mengirimkan data yang dicuri ke infrastruktur milik operator. Namun jika jalur tersebut tidak dapat digunakan, Manic dapat mencari perangkat lain yang telah terinfeksi di sekitarnya.

Data terlebih dahulu dienkripsi sebelum dikirim melalui koneksi Wi-Fi Direct atau Bluetooth.

Menurut analisis peneliti, Manic akan terlebih dahulu mencoba menggunakan peer Wi-Fi Direct yang sudah tersedia. Jika jalur tersebut tidak dapat digunakan, malware kemudian memeriksa perangkat Bluetooth dan Bluetooth Low Energy (BLE) di sekitar untuk mengetahui apakah perangkat tersebut memiliki konektivitas internet.

Dengan mekanisme tersebut, perangkat korban lain dapat berfungsi sebagai perantara antara perangkat yang terinfeksi dan server milik penyerang.

Manic bahkan mendukung multi-hop

Mekanisme tersebut tidak berhenti pada satu perangkat perantara.

Manic dapat menggunakan multi-hop routing, sehingga data dapat diteruskan melalui beberapa perangkat yang terinfeksi sebelum akhirnya mencapai koneksi internet.

Konfigurasi standarnya memungkinkan data melewati hingga empat relay hop.

Artinya, perangkat Android yang sedang offline masih dapat mengirimkan data curian selama terdapat perangkat lain yang telah terinfeksi dalam jangkauan Wi-Fi atau Bluetooth.

Teknik ini juga membuat mekanisme komunikasi malware lebih sulit dianalisis hanya berdasarkan koneksi internet langsung dari perangkat korban.

Menargetkan aplikasi keuangan dan layanan pemerintah

Manic diketahui menargetkan aplikasi yang digunakan di Eropa Tengah dan Barat, termasuk Inggris serta Rusia.

Namun, fokus utama operasi tersebut tampaknya berada pada aplikasi perbankan dan layanan pemerintah/eID di Ukraina. Malware juga menargetkan berbagai layanan fintech dan cryptocurrency yang digunakan secara global.

Dengan cakupan sedikitnya 169 aplikasi, operator Manic memiliki peluang untuk memperoleh kredensial, kode autentikasi, informasi transaksi, hingga data pemulihan akun dari korban.

Kemampuan membaca SMS dan notifikasi juga menjadi ancaman serius karena banyak layanan masih menggunakan kode OTP sebagai salah satu faktor autentikasi.

Infrastruktur Manic terus berkembang

Jalur infeksi awal Manic hingga kini belum diketahui secara pasti.

Peneliti menemukan indikasi penggunaan sebuah wrapper pada akhir Mei yang digunakan untuk mengirimkan payload utama kepada korban. Setelah itu, infrastruktur yang digunakan dalam operasi tersebut terus berkembang.

Pada Juli, ditemukan versi wrapper baru dengan mekanisme anti-analysis yang lebih kuat. Versi tersebut juga menggunakan in-memory DEX loading, yang dapat menyulitkan analisis terhadap payload malware.

Pada periode yang sama, operator juga memperkenalkan panel serta API baru untuk mendukung infrastrukturnya.

Perkembangan tersebut menunjukkan bahwa Manic masih aktif dikembangkan dan kemungkinan akan terus mengalami perubahan untuk menghindari deteksi keamanan Android.

Pengguna Android disarankan lebih berhati-hati

Pengguna Android sebaiknya menghindari pemasangan file APK dari situs tidak dikenal, forum, atau portal aplikasi tidak resmi. Aplikasi yang berasal dari sumber mencurigakan dapat menjadi jalur masuk malware seperti Manic.

Perhatian khusus juga perlu diberikan terhadap permintaan Accessibility permissions. Hak akses tersebut memberikan kemampuan sangat besar kepada aplikasi untuk membaca dan mengendalikan antarmuka perangkat, sehingga sebaiknya hanya diberikan kepada aplikasi yang benar-benar dipercaya dan memang membutuhkan fungsi tersebut.

Pengguna juga disarankan memastikan Google Play Protect tetap aktif dan menjalankan pemeriksaan secara berkala.

Dengan kemampuan mencuri input, membaca SMS dan notifikasi, mengakses file serta lokasi, hingga mengirimkan data melalui perangkat terinfeksi lain, Manic menunjukkan bagaimana malware Android modern semakin mengandalkan kombinasi teknik untuk mempertahankan akses dan menghindari mekanisme pertahanan.

Sumber: ThreatFabric