Ucrania no es un objetivo secundario sino una prioridad: el troyano bancario Manic convierte los móviles de la ciudadanía en herramientas de vigilancia

Un nuevo malware para Android aprendió a robar los códigos bancarios directamente de aplicaciones reales y a transmitir los datos robados a través de otros teléfonos infectados, incluso si el propio dispositivo no tiene acceso a internet. Los especialistas de ThreatFabric descubrieron la familia Manic, que combina funciones de troyano bancario, programa espía y herramienta de control remoto del teléfono.

La actividad de Manic se remonta al menos a febrero de 2026, cuando apareció la infraestructura relacionada con el malware. A finales de mayo los desarrolladores prepararon las primeras muestras conservadas del cargador y del módulo principal, y en julio añadieron protección contra el análisis, empezaron a cargar código ejecutable directamente en la memoria y a robar el secreto de bloqueo del dispositivo. Según ThreatFabric, el malware continúa evolucionando activamente.

Manic vigila 169 identificadores de aplicaciones. El principal interés de los atacantes se concentra en Ucrania, sin embargo en la lista también figuran bancos de Rusia, Polonia, Chequia, Eslovaquia, Austria, Alemania, Francia, España, Países Bajos, Estonia, Lituania y Reino Unido. El malware supervisa servicios de pago, exchanges y monederos de criptomonedas, aplicaciones de identificación electrónica, métodos de verificación en dos pasos, clientes de correo, navegadores y servicios de mensajería, incluidas aplicaciones para comunicaciones militares.

Después de que Manic obtiene acceso a las capacidades especiales de Android y a las notificaciones, convierte el teléfono inteligente en una herramienta de vigilancia. El programa intercepta contraseñas, códigos de un solo uso, frases de recuperación de monederos cripto y el contenido de las notificaciones; recopila SMS, historial de llamadas, contactos, archivos y las coordenadas del dispositivo. El operador también puede ver la pantalla, tomar capturas, enviar SMS, eliminar y subir archivos, bloquear el dispositivo y controlar la interfaz de forma remota.

Para robar el PIN bancario, Manic no necesita sustituir la aplicación por una página falsa. El malware determina la posición del teclado numérico de la aplicación bancaria real, intercepta el toque del usuario, registra el dígito elegido y luego reproduce la pulsación mediante las capacidades especiales de Android. El banco recibe la entrada habitual, por lo que la aplicación sigue funcionando con normalidad y la víctima puede no percatarse de nada.

Lo más inusual es que Manic transmite los datos robados a través de teléfonos infectados cercanos. Los archivos y los resultados de los comandos se cifran con el algoritmo AES-GCM y se almacenan en una cola. Si el teléfono no puede conectarse con el servidor de control, el malware busca dispositivos infectados próximos mediante Wi‑Fi Direct o Bluetooth. Los datos pueden pasar por una cadena de hasta cuatro dispositivos, hasta que uno de los teléfonos obtenga acceso a internet y envíe la información a los atacantes.

Este mecanismo significa que simplemente desconectar el teléfono infectado de internet puede no ser suficiente para detener la fuga. Manic comprueba periódicamente los canales de comunicación disponibles y reitera los intentos de transmisión. Los cambios aparecidos entre mayo y julio muestran que el malware continúa desarrollándose y ampliando las capacidades de control remoto.