オフライン端末からも近隣経由でデータを奪う新型Androidマルウェア「Manic」が判明、銀行や軍事アプリを標的に

要点

• オランダのセキュリティ企業ThreatFabricが、バンキングマルウェアとスパイウェアの双方の性質を併せ持つ新型Androidマルウェア「Manic」を報告した。

• 独自のWi-Fiメッシュ技術を搭載しており、インターネットに接続されていない感染端末から、近隣のネット接続可能な感染端末を中継してデータを外部へ持ち出すことができる。

• ウクライナの銀行や政府サービスをはじめ、欧州の金融機関、暗号資産、軍事関連の通信アプリなど169種類のパッケージを標的に監視を行っている。

• Androidのアクセシビリティサービス（ユーザー補助機能）を悪用し、PINコードの窃取やWebRTCによる画面の遠隔監視、Google Play Protectの無効化などを実行する。

• オランダのサイバーセキュリティ企業ThreatFabricは2026年8月20日、バンキングマルウェアとモバイル向けスパイウェアの特徴を兼ね備えた新型Androidマルウェア「Manic（マニック）」に関する調査結果を明らかにした。Manicは金融詐欺機能に加え、位置情報追跡や端末の遠隔制御といった広範な監視機能を備えており、ウクライナや欧州の金融機関、暗号資産サービス、軍事通信アプリなどを標的にしている。さらに、感染した端末同士が通信し合ってデータを外部へ送信する独自のWi-Fiメッシュ技術を備えている点が特徴だという。

金融詐欺と端末監視を併せ持つハイブリッド構造

ThreatFabricの技術レポートによると、Manicは従来のAndroid向け銀行型不正プログラムとスパイウェアの境界に位置する脅威と評価されている。主な目的は金融詐欺にあるとみられる一方で、端末の完全な乗っ取りや監視を可能にする高度な機能を多数備えているという。

マルウェアは、各種ユーティリティアプリになりすましたドロッパー（不正な本体プログラムを端末内に展開・インストールさせるためのアプリ）や、フィッシングサイトを通じて配布されていることが確認されている。

ネット非接続でもデータを中継するWi-Fiメッシュ技術

Manicの大きな技術的特徴として挙げられているのが、独自のWi-Fiメッシュ技術の採用である。この仕組みにより、標的となった端末がインターネットに直接接続されていないオフライン状態であっても、近隣に存在するインターネット接続可能な別の感染端末を中継役として利用し、窃取したデータを外部サーバーへ送信できるという。物理的にネットワークから隔離された環境やオフラインの状況下にあっても、感染端末を経由して情報が持ち出される仕組みとなっている。

2026年2月からの開発経緯と急速な機能強化

ThreatFabricの調査によれば、このマルウェアファミリーの活動は2026年2月に偽造された人物名義で最初のドメインが取得されたことから始まった。その後すぐに活発な開発が進められ、5月末には予約アプリを装ったラッパー（不正コードを包む外装アプリ）とインプラント（不正処理を実行する本体プログラム）の初期版が登場した。

開発は6月下旬から7月中旬にかけて一時的に中断されたものの、7月13日頃から第2段階の展開が確認されたという。この最新バージョンでは、セキュリティ解析を回避するアンチアナリシス機能が強化されたほか、画面ロックの認証情報をフィッシング詐欺の手法で詐取する機能が追加された。さらに7月24日から28日の間には、攻撃者が操作する管理パネルおよびAPIが稼働を開始したことが確認されている。

なお、解析によって判明したラッパーおよびインプラントのAPKパッケージ名には、以下のようなものが含まれている。

• ラッパー: tech.intel.dialer.updater、org.honor.secure.helper
• インプラント: org.lenovo.storage.processor、dev.huawei.media.helper

金融から軍事通信まで169種類のアプリを標的化

Manicは、あらかじめ指定された169種類のパッケージIDを監視対象として保持している。標的の多くはウクライナの銀行や身元確認（eID）サービス、政府機関のアプリだが、ロシアや英国を含む中央・西ヨーロッパの金融機関、P2P（個人間）決済、BNPL（後払い決済）サービス、暗号資産（仮想通貨）のウォレットや取引所もリストに含まれている。

加えて、民生用および軍事用途のメッセージングアプリ、Webブラウザ、二要素認証アプリ、メールクライアントも標的となっている。攻撃者は位置情報のリアルタイム追跡や通知の傍受、端末内ファイルの収集機能などを組み合わせることで、被害者の金銭取引だけでなく、通信内容や物理的な居場所までリアルタイムに監視できる状態を作り出していると指摘されている。

アクセシビリティサービスの悪用と多彩な不正操作

Manicは他のAndroidマルウェアと同様に、Androidの「アクセシビリティサービス（身体の不自由なユーザーを補助するためのOS標準機能）」や通知アクセス権限を悪用して目的を達成する。

具体的には、アクセシビリティサービスを「UIキーロガー」として動作させ、入力されたテキストを記録するとともに、使用中のアプリが監視対象リストに含まれているかを識別する。さらに、正規の数値入力キーパッドの上に透明な偽画面（オーバーレイ）を重ねて表示することで、ユーザーが入力した暗証番号（PINコード）を盗み取る手口も備えている。

このほか、以下のような多彩な不正機能が確認されている。

• キーパッド操作を傍受し、パスワードやワンタイムコード、ウォレットの復元フレーズを収集
• WebRTC（ブラウザ等でリアルタイム通信を行う技術）セッションを確立し、画面の監視や遠隔からの端末操作を実行
• ランチャー（アプリアイコン一覧画面）からインプラントのアイコンを非表示化
• 現在地の緯度経度と日時の記録（位置情報が無効な場合は強制的に有効化）
• スクリーンショットの撮影
• 連絡先、通話履歴、SMSメッセージ、受信通知のエクスポート
• インストールされているアプリ一覧の取得
• 指定された電話番号へ指定された文面のSMSを送信
• 偽の通知を表示
• 端末内の指定されたローカルファイルを削除
• アクセシビリティサービスを介した端末画面の強制ロック
• 画面を真っ黒にする、または偽の更新中画面を表示して不正な活動を隠蔽
• UI操作の自動化によるセキュリティ機能「Google Play Protect」の無効化試行