Android-malware stjæler bankdata uden internetforbindelse

En ny Android-malware ved navn Manic kan stjæle dine bankoplysninger og sende dem videre til bagmændene, selvom telefonen slet ikke har internetforbindelse. Data hopper i stedet fra telefon til telefon via Wi-Fi Direct og Bluetooth — gennem andre inficerede mobiler i nærheden, i op til fire led, indtil én af dem har adgang til nettet.

Det er den mekanisme, der gør Manic anderledes fra stort set alt andet, sikkerhedsbranchen har set på Android. At slå mobildata og wi-fi fra har hidtil været den sidste udvej, hvis man frygtede, at telefonen var kompromitteret. Den udvej lukker Manic.

Malwaren er kortlagt af det hollandske mobilsikkerhedsfirma ThreatFabric, der har fulgt den siden mindst februar 2026. Hovedmålet er ukrainske brugere, men kampagnen retter sig eksplicit også mod Central- og Vesteuropa samt Storbritannien og Rusland.

Et mesh-netværk af inficerede telefoner

Almindelig mobil-malware har et grundlæggende problem: den skal på et tidspunkt aflevere det stjålne. Går forbindelsen til kommandoserveren ned — fordi serveren bliver lukket, fordi netværket blokerer den, eller fordi ofret er offline — står data stille på telefonen.

Manic løser det ved at bygge sit eget netværk. Når den ikke kan nå sin kommandoserver, aktiverer den en reservekanal: den leder efter andre Manic-inficerede enheder inden for rækkevidde og sender de krypterede data videre til dem over Wi-Fi Direct eller Bluetooth. Den enhed videresender til den næste, og sådan fortsætter det — som standard op til fire hop — indtil en af telefonerne kan komme på nettet og aflevere pakken.

ThreatFabric beskriver det som multi-hop-ruter, og konsekvensen er ubehagelig konkret. En telefon i flytilstand, på et netværk uden internetadgang eller i en bygning med afskærmet mobildækning er ikke længere isoleret, hvis der står en anden inficeret telefon i nærheden. Det gælder i toget, i kantinen, i lufthavnen.

Teknikken kendes fra legitime formål — mesh-beskeder ved demonstrationer og katastrofer bygger på samme princip — men det er første gang, den ses brugt systematisk til dataudslusning fra en banktrojaner.

169 apps: banker, eID, krypto og totrinskoder

Manic er ikke en ren banktrojaner. ThreatFabric tæller 169 målrettede apps fordelt på seks kategorier: bankapps, offentlige ID- og eID-apps, betalingsapps, kryptopunge, beskedtjenester og authenticator-apps til totrinsgodkendelse.

Det er den kombination, der gør den farlig. Malwaren går ikke kun efter din netbank — den går efter den identitet, du bruger til at godkende ting med, og den kanal, koderne kommer ind ad.

Selve tyveriet foregår gennem Androids Accessibility Service, tilgængelighedsfunktionen for brugere med handicap. Får en app den tilladelse, kan den reelt læse alt på skærmen og betjene telefonen på brugerens vegne. ThreatFabric formulerer det tørt: "Manic bruger sin Accessibility-tjeneste som en UI-keylogger."

Konkret kan malwaren:

• lægge usynlige overlays over numeriske tastaturer og opsnappe hvert tryk
• opfange låseskærmens pinkode eller adgangskode
• læse sms'er og notifikationer, herunder engangskoder
• indsamle filer og lokationsdata
• overvåge skærmen løbende
• fjernstyre telefonen via en WebRTC-session

Særligt raffineret er, at Manic klassificerer det, den optager. Den skelner mellem låseskærmsinput, gendannelsessætninger til kryptopunge, sms-koder og adgangskoder, så bagmændene ikke skal grave i rå logfiler for at finde det værdifulde. Den samme logik — malware, der målretter selve enhedens adgangskode med falske prompts — så vi tidligere på Mac med ClickLock, der presser Mac-brugere til at opgive deres kodeord.

Distributionen sker via en såkaldt wrapper: en indpakning, der skjuler den egentlige kode. En ny version dukkede op i juli med skrappere anti-analyse-tjek og DEX-indlæsning i hukommelsen, så den skadelige kode aldrig ligger som en fil, antivirus kan finde.

Ikke et enkeltstående tilfælde

Manic lander midt i en bølge af Android-banktrojanere, der vokser hurtigt i omfang.

Dagen før ThreatFabrics offentliggørelse beskrev Zimperiums zLabs en ny udgave af en anden kendt familie: ToxicPanda 2.0. Den version rummer 167 fjernkommandoer og går efter 349 bank-, finans-, e-wallet- og kryptoapps i 16 lande. Til sammenligning gik den forrige udgave efter 16 bankapps. Ifølge Zimperium har den også et pinkodetyveri rettet mod over 140 apps og misbruger Androids trådløse fejlfinding (ADB) til at skaffe sig udvidede rettigheder.

Retningen er tydelig: målskiverne bliver flere, teknikkerne mere automatiserede, og angrebene mere selvstændige.

Er det det samme som NFC-tyveriet fra august?

Nej — og forskellen er værd at holde styr på, fordi modtrækkene ikke er de samme.

I august beskrev vi WindRelay, hvor Android-malware stjæler betalingskortet via NFC-berøring. Der er angrebet fysisk og øjeblikkeligt: ofret bliver ringet op, holder sit kort mod telefonen, og kortets data relæes i realtid til en svindler, der står ved en betalingsterminal et andet sted. Kortet forlader aldrig hånden, men pengene forsvinder inden for minutter.

Manic gør noget helt andet. Der er ikke noget kort involveret. Malwaren høster legitimationsoplysninger — brugernavne, adgangskoder, pinkoder, engangskoder, gendannelsessætninger — over tid, og udslusningen behøver ikke ske med det samme. Netop derfor er offline-meshet en styrke for bagmændene: de har ikke travlt, de skal bare have data ud til sidst.

Kort sagt: WindRelay er et realtidsrelæ af en enkelt transaktion. Manic er en langsom, tålmodig aftapning af din digitale identitet — med en udslusningskanal, der ikke kan lukkes ved at slå nettet fra.

Hvad betyder det for danskerne?

Der er ikke offentliggjort en dansk målliste, men "Central- og Vesteuropa" dækker Danmark, og kategorien "offentlige ID-apps" er relevant her. En malware, der kan læse skærmen, betjene telefonen og opsnappe notifikationer, står stærkt over for enhver godkendelsesflow, der foregår på samme enhed — hvad enten det er en bankapp eller en identitetsapp.

Det praktiske råd er kedeligt, men virker:

Installer kun apps fra Google Play. Manic distribueres uden om butikken som APK-filer. Sideloading er den eneste realistiske vej ind på en opdateret Android-telefon.

Vær kompromisløs med Accessibility-tilladelsen. Ingen bank, ingen myndighed og ingen leveringstjeneste har brug for tilgængelighedsadgang. Bliver du bedt om det uden for skærmlæsere og lignende hjælpemidler, er svaret nej. Tjek listen under Indstillinger → Tilgængelighed → Installerede apps og fjern alt, du ikke selv har sat op bevidst.

Brug en separat enhed eller en fysisk nøgle til godkendelse, hvis du kan. Ligger både bankappen og godkendelsen på samme telefon, er én kompromitteret enhed nok.

Hold Google Play Protect slået til og lad den scanne enheden. Den fanger ikke alt, men den fanger de kendte wrappers.

Konklusion

Manic er interessant, fordi den angriber en antagelse frem for en teknologi. Antagelsen var, at data ikke kan forlade en telefon uden internetforbindelse. Den holder ikke længere, når malwaren kan låne naboens telefon som postbud.

Det vil formentlig tvinge sikkerhedsbranchen til at kigge på Wi-Fi Direct- og Bluetooth-trafik på samme måde, som man i dag overvåger netværkstrafik — noget, der stort set ikke gøres på forbrugerenheder i dag. Indtil da ligger forsvaret det samme sted som altid: ved den tilladelse, du giver eller lader være med at give, første gang appen spørger.

Kilder: BleepingComputer og The Hacker News.