Android-Trojaner Manic zielt auf deutsche Bank- und Ausweis-Apps

Das niederländische Sicherheitsunternehmen ThreatFabric hat am 20. August eine bislang unbekannte Android-Schadsoftware beschrieben. Sie trägt den Namen Manic und mischt zwei Dinge, die sonst getrennt auftreten: einen Banking-Trojaner, der ans Geld will, und Spyware, die den Besitzer überwacht. Der Schwerpunkt der Kampagne liegt klar in der Ukraine. In der Zielliste stehen aber auch Banken aus Deutschland, Polen, Tschechien, der Slowakei, Österreich, Frankreich, Spanien, den Niederlanden, Estland, Litauen und Großbritannien. Bei den staatlichen Ausweis- und eID-Anwendungen taucht Deutschland ebenfalls auf.

Insgesamt beobachtet Manic 169 Package-IDs, also die technischen Kennungen einzelner Apps. Abgedeckt sind Banken, Bezahldienste, Ratenkauf, Auslandsüberweisungen, Krypto-Börsen und Wallets, Messenger, Browser, E-Mail-Programme, eID-Anwendungen und Authenticator-Apps, also genau die Programme, die den zweiten Faktor beim Login erzeugen. Die ersten Spuren reichen laut ThreatFabric bis Februar 2026 zurück. Im Juli kam eine überarbeitete Fassung mit stärkerem Schutz gegen Analyse dazu.

Die PIN wandert mit, ohne gefälschte Bankseite

Klassische Banking-Trojaner legen eine nachgebaute Bankoberfläche über die echte App. Wer genau hinsieht, kann das erkennen. Manic macht es anders. Findet die Software in einer Ziel-App ein Ziffernfeld, legt sie eine durchsichtige Fläche exakt über diese Tasten. Tippt der Nutzer, merkt sich Manic die Position, schaltet das Abfangen kurz ab und wiederholt den Tipp über die Android-Bedienungshilfen an derselben Stelle. Die Bank-App bekommt die Eingabe also ganz normal und arbeitet weiter. Auf dem Bildschirm ist nichts Auffälliges zu sehen. Die PIN liegt trotzdem beim Angreifer. Das Muster ist von anderen Betrugsmaschen bekannt: Der Angriff zielt genau auf das Merkmal, an dem man sonst merkt, dass etwas nicht stimmt.

Dazu kommt eine zweite Funktion, die ThreatFabric autoEnterPin nennt. Sie arbeitet am Sperrbildschirm und versucht, eine zuvor mitgeschnittene PIN oder ein Muster selbst einzugeben. Die Bedienungshilfen dienen der Software außerdem als Tastaturmitschnitt. Sie sortiert erfasste Eingaben vorab danach, ob es sich um eine Sperrbildschirm-Eingabe, eine Wiederherstellungsphrase für eine Krypto-Wallet, einen vier- bis sechsstelligen SMS-Code oder ein Passwort handelt.

Ein zweites infiziertes Handy als Notausgang

Der ungewöhnlichste Teil betrifft den Datenabfluss. Kommt ein infiziertes Gerät nicht an den Server der Angreifer heran, verschlüsselt Manic die gesammelten Daten und legt sie in eine Warteschlange. Dann sucht es per Wi-Fi Direct, Bluetooth oder Bluetooth Low Energy nach einem anderen infizierten Handy in Funkreichweite und prüft, ob dieses online ist. Findet sich eines, wandert das Paket dorthin und von da weiter zum Server. Bis zu vier Zwischenstationen sind voreingestellt.

Praktisch heißt das: Ein Handy vom Netz zu nehmen, stoppt den Abfluss nicht zwangsläufig, solange ein zweites infiziertes Gerät in der Nähe liegt. Es ist derselbe Denkfehler wie bei der Zwei-Faktor-Anmeldung, bei der ein gestohlenes Sitzungs-Cookie den zweiten Faktor überflüssig macht.

Woran du das Ding erkennst

Manic besteht aus zwei Teilen, einem Wrapper zum Einschleusen und dem eigentlichen Implantat. Die Paketnamen sind bewusst so gewählt, dass sie nach Systemkomponenten bekannter Hersteller klingen. ThreatFabric nennt tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler und io.motorola.secure.executor. Die Juli-Version entfernt ihr Symbol aus der App-Übersicht und ist im Menü dann gar nicht mehr zu sehen.

Alles hängt an zwei Berechtigungen: den Bedienungshilfen und dem Benachrichtigungszugriff. Wer prüfen will, ob etwas nicht stimmt, öffnet in den Android-Einstellungen den Punkt Bedienungshilfen und sieht sich die dort eingetragenen Dienste an. Was dort steht und nicht erkennbar zu einer bewusst installierten Hilfs-App gehört, gehört abgeschaltet. Dasselbe gilt für den Benachrichtigungszugriff. Manic versucht zusätzlich, Google Play Protect über automatisierte Klicks zu deaktivieren, ein Blick in den Play Store lohnt also ebenfalls.

Wie viele Geräte betroffen sind, sagt ThreatFabric nicht. Zahlen zu Infektionen in Deutschland liegen nicht vor. Der einfachste Schutz bleibt der alte: keine APK-Dateien aus Links oder fremden Portalen installieren, auch dann nicht, wenn die Seite nach einem bekannten Hersteller aussieht.