Manic：ネットワーク隔離を無力化する新種のハイブリッド型Android悪性ウェア

研究者により、バンキングマルウェアとスパイウェアの双方の性質を兼ね備えた新種のAndroid脅威「Manic」が確認されました。
本脅威はウクライナを中心に、欧州やグローバルの金融機関・暗号資産サービス等を標的としており、従来の枠組みを超えた高度な侵入・窃取手口を備えています。
このマルウェアの特徴的な機能とメカニズムをみてみましょう。

• オフライン端末からのデータ送出（Wi-Fi / Bluetooth メッシュリレイ）
  • 概要
    感染端末がC2（司令）サーバと直接通信できない環境下でも、周辺の感染端末を経由してデータを窃取・送出します。
  • 詳細
    窃取データ（暗号化済み）をローカルキューに保持し、Wi-Fi Direct、Bluetooth RFCOMM、BLE GATT を用いて周囲にある他の感染端末を検索します。
    インターネットに接続している近接端末を見つけると、デフォルトで最大4ホップ（中継）までのマルチホップ経路を辿ってデータをC2へ転送します。
    これにより、単に端末のインターネット接続を切断するだけでは情報の外部流出を防ぎきれない仕組みになっています。
• 透明オーバーレイを用いたステルス型のPINコード窃取（pinPadOverlay）
  • 概要
    偽の画面（フィッシング画面）を表示することなく、正規アプリのキーパッド入力情報（PIN）を裏で盗み取ります。
  • 詳細
    標的アプリのテンキー部分だけにぴったり重なる透明なオーバーレイを配置します。
    ユーザがキーをタップした際、そのタップ位置の座標と入力情報を記録した上で瞬時にタッチ割り込みを一時解除し、アクセシビリティサービスを介して全く同じ座標を正規アプリ側へ転送（疑似再現）します。
    正規アプリは違和感なく動作し続けるため、ユーザに気づかれることなく暗証番号が収集されます。
• バンキング詐欺機能とスパイウェア機能の高度な統合
  • 概要
    金銭的な不正送金（DTO: 端末乗っ取り）と、リアルタイムの個人・機密情報監視を同時に実行します。
  • 詳細
    銀行アプリや暗号資産ウォレットだけでなく、政府発行の身分証明アプリ、大手メッセージングアプリ、軍事向け通信ツールなど、169種類におよぶパッケージを監視対象に指定しています。
    アクセシビリティサービスを「UIキーロガー」として活用し、SMS認証コードや復元フレーズ（シードフレーズ）などを識別・収集するほか、WebRTCを利用したリアルタイム画面監視や遠隔操作を可能にしています。
• 動的な解析回避と持続性の確保
  • 概要
    セキュリティ対策機能の無効化や潜伏手法を高度化させています。
  • 詳細
    2026年7月の更新版では、ランチャー（アプリ一覧）からアイコンを消去して潜伏する手口や、メモリ上でのDEXコード動的読み込み、解析回避ロジックが強化されました。
    また、UIの操作を自動化することで「Google Play Protect」を勝手に無効化しようとする試みも確認されています。

Manicは金融詐欺と国家・軍事レベルの諜報活動の両方を単一のプラットフォームで実行可能な、極めて危険度の高いAndroidマルウェアです。
透明オーバーレイによる暗証番号の直接収集や、画面を黒塗りにして裏で操作を行うなど、ユーザに異常を感じさせない隠蔽工作に優れています。
さらに特筆すべきは近隣端末同士のWi-Fi/Bluetooth通信を利用したメッシュリレイ機構であり、ネットワークからの隔離という従来の対策手法を無力化する設計がなされています。
これはオフライン状態の端末であっても情報流出を防ぐことが困難なことを示します。
2026年2月のインフラ構築から短期間で急速にアップデートが進められており、今後も機能拡張や標的の領域や地域の拡大が懸念される脅威です。
本脅威への対策として、アクセシビリティ権限の厳密な管理、Play Protect無効化の防止・監視、およびMDMを通じた端末保護の徹底が強く推奨されます。

Manic: Blend between Banking Malware & Spyware
https://www.threatfabric.com/blogs/manic-blend-between-banking-malware-and-spyware