安全研究公司 ThreatFabric 近期揭露了一款名為 Manic 的新型 Android 惡意軟體。這款軟體在設計上融合了銀行木馬與間諜軟體的特徵，其攻擊目標極其廣泛，涵蓋了烏克蘭與俄羅斯的銀行、政府身分驗證服務、金融科技公司、加密貨幣交易所，甚至包括軍事通訊應用程式。Manic 的危險之處不僅在於其強大的監控能力，更在於它引入了一種新穎的 Wi-Fi Mesh 網狀網路傳輸技術，使得即使是處於離線狀態的受感染設備，也能將竊取的資料透過附近的其他受感染設備傳送出去。
Manic 的傳播路徑主要依賴於釣魚網站以及偽裝成實用工具的 Dropper 應用程式。Dropper 是一種下載器程式，其本身不含核心攻擊代碼，但會在安裝後從遠端伺服器下載真正的惡意植入物。根據 ThreatFabric 的分析，Manic 的開發活動可追溯至 2026 年 2 月，最初透過虛構的身分註冊域名，隨後在 5 月底正式推出植入物。值得注意的是，該軟體在 6 月底至 7 月中旬間曾暫停更新，但隨後推出的新版本顯著強化了反分析機制，並增加了針對鎖定螢幕密碼的釣魚功能。
核心功能與權限濫用
Manic 的運作核心在於濫用 Android 系統的 Accessibility Services（輔助功能服務）與通知權限。輔助功能服務原本設計是用來幫助身心障礙者操作設備，但被惡意軟體利用後，可以將設備變成一個 UI Keylogger（使用者介面鍵盤記錄器），能夠分類並記錄使用者在特定應用程式中輸入的所有文字。
該軟體監控了高達 169 個特定的套件 ID，包含銀行、P2P 支付、加密貨幣錢包、政府電子身分證以及通訊軟體。為了在不引起使用者懷疑的情況下竊取 PIN 碼，Manic 採用了一種極其隱蔽的透明疊層技術。它會在合法應用程式的數字鍵盤上方覆蓋一層透明層，當使用者點擊時，惡意軟體會記錄點擊位置，隨後利用輔助功能 API 在相同位置模擬點擊，讓原應用程式正常運作，而攻擊者則在後台悄悄獲取了密碼。
除了金錢竊取，Manic 還具備完整的間諜功能，包括透過 WebRTC 會話進行遠端螢幕監控、記錄地理位置、截圖、導出通訊錄與簡訊，甚至能嘗試關閉 Google Play Protect 以避免被系統偵測。
離線數據外洩的網狀傳輸機制
Manic 最令人不安的技術突破在於其 Store-and-Forward（儲存並轉發）的接力機制。傳統的惡意軟體若無法連接到 C2（Command and Control，指令與控制伺服器），就無法將數據傳回攻擊者手中。然而，Manic 允許受感染設備在離線狀態下，搜尋附近同樣被感染的 Android 設備作為跳板。
具體運作流程為：首先將竊取的檔案以加密格式存放在本地隊列中；接著利用 Wi-Fi Direct（一種允許設備間直接連接的 Wi-Fi 技術）、Bluetooth RFCOMM 或 BLE GATT（低功耗藍牙通用屬性設定檔）尋找附近的同類設備。一旦找到對接設備，加密數據包就會被轉發過去，再由該設備繼續向 C2 伺服器傳送。
這種機制支持多跳傳輸（Multi-hop），預設最高可經過四個中繼節點。這意味著即便一名使用者意識到風險而將手機斷網，只要附近有其他受感染的設備，其數據仍有可能被外洩。
實務影響與安全限制
Manic 的出現提升了行動裝置間橫向移動的威脅等級。它證明了惡意軟體不再僅僅依賴單一設備的網路連接，而是可以將受感染的設備群轉化為一個分佈式的傳輸網路。對於高敏感度環境（如軍事或政府機關）而言，單純的物理隔離或暫時斷網已不足以完全阻止數據外洩。
然而，這種傳輸機制仍有其限制。它極度依賴於受感染設備的密度，如果周圍沒有其他被 Manic 感染的設備，數據將只能在本地隊列中等待。此外，該軟體高度依賴使用者授予的輔助功能權限，這也給了防禦端一個關鍵的切入點。
針對此類威脅，使用者應極其謹慎地審核任何要求開啟輔助功能服務的應用程式，尤其是來源不明的工具類 App。同時，定期檢查設備的網路連線異常以及更新系統安全補丁，是對抗這類快速演進之惡意軟體的必要手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。