Manic: malware Android rouba PIN bancário e retransmite dados furtados via Bluetooth mesmo offline
Pesquisadores da ThreatFabric identificaram o Manic, malware Android que combina trojan bancário com spyware completo, ativo desde fevereiro de 2026 e monitorando 169 aplicativos, com foco em bancos ucranianos, serviços governamentais e plataformas de criptomoedas europeias. O malware abusa dos serviços de Acessibilidade para capturar PINs digitados em apps bancários sem interromper a transação, e usa uma rede mesh via Bluetooth e Wi-Fi Direct para exfiltrar dados mesmo quando o aparelho infectado está sem acesso à internet.
O Manic foi descrito pela ThreatFabric como um malware híbrido, situado na fronteira entre trojan bancário Android e spyware de vigilância completa. Embora os pesquisadores classifiquem a ameaça como ainda em desenvolvimento, ela já monitora 169 aplicativos distintos, com prioridade para bancos e serviços governamentais da Ucrânia, plataformas de criptomoedas e instituições financeiras europeias — um alvo típico de operações de fraude bancária em larga escala.
Por dentro, o malware explora o serviço de Acessibilidade do Android, recurso pensado para deficientes visuais, para se transformar em um keylogger de interface que classifica automaticamente o que é digitado: PIN de tela de bloqueio, frases de recuperação de carteira cripto, códigos OTP por SMS de quatro a seis dígitos e senhas. A técnica mais perigosa é a captura de PIN bancário sem overlay tradicional: em vez de sobrepor uma tela falsa que o usuário perceberia, o Manic coloca uma camada invisível sobre o teclado numérico do app legítimo, registra cada toque e repassa o mesmo toque para o aplicativo real — a transação segue normalmente e a vítima não percebe nada de errado. Uma função adicional, autoEnterPin, permite tentar PINs e padrões já capturados diretamente na tela de bloqueio do aparelho, abrindo caminho para acesso remoto ao dispositivo.
O diferencial mais notável do Manic é o mecanismo de exfiltração offline: dados são cifrados em AES-GCM e armazenados localmente em um esquema de store-and-forward. Quando o aparelho não tem acesso direto ao servidor de comando e controle, o malware procura outros dispositivos infectados por Wi-Fi Direct, Bluetooth RFCOMM ou BLE GATT e forma uma rede mesh, retransmitindo os dados por até quatro saltos entre telefones comprometidos até que um deles consiga alcançar o C2. Isso derruba defesas clássicas baseadas em bloquear tráfego de rede ou cortar dados móveis do aparelho infectado, já que a exfiltração pode ocorrer por proximidade física, sem depender de internet.
Para reconhecer e mitigar o risco, o ponto de maior atenção é a concessão do serviço de Acessibilidade: nenhum app bancário legítimo pede essa permissão, então qualquer solicitação nesse sentido vinda de um app fora da Play Store (ou mesmo dentro dela, disfarçado) deve ser tratada como suspeita. Equipes de segurança móvel também podem monitorar conexões Bluetooth ou Wi-Fi Direct incomuns partindo de aparelhos que não deveriam estar trocando arquivos, e usuários devem evitar sideload de APKs e manter o Android atualizado. Como a captura de PIN não gera nenhum sintoma visível durante a transação, bancos precisam reforçar a defesa no lado servidor, com análise comportamental e device fingerprinting capazes de detectar padrões de acesso incomuns mesmo quando a credencial usada é tecnicamente válida.