La seguridad de los dispositivos móviles se enfrenta a un nuevo y complejo desafío con la aparición de "Manic", una variante de software malicioso diseñada específicamente para el sistema operativo Android. Según un informe detallado emitido por la empresa de seguridad neerlandesa ThreatFabric, este troyano posee la capacidad de sustraer los códigos PIN de los usuarios directamente desde el teclado de las aplicaciones, operando de manera totalmente invisible al no desplegar pantallas falsas ni emitir alertas que puedan advertir a la víctima sobre la intrusión.
De acuerdo con el análisis técnico, Manic no es un malware convencional, sino que representa una amenaza híbrida. El programa fusiona las capacidades típicas de un troyano bancario con funciones avanzadas de espionaje, dos tipos de amenazas que habitualmente actúan de forma independiente. El objetivo primordial de este software es doble: por un lado, el robo de fondos económicos de los usuarios y, por otro, el monitoreo exhaustivo de la actividad general dentro del dispositivo infectado.
La campaña de infección detectada tiene un foco principal en Ucrania, aunque su alcance es considerablemente más amplio. La lista de objetivos incluye entidades bancarias y aplicaciones de identificación electrónica en diversos países europeos, entre los que se encuentran Alemania, Polonia, República Checa, Eslovaquia, Austria, Francia, España, Países Bajos, Estonia, Lituania y el Reino Unido.
El espectro de aplicaciones vulnerables es extenso. Manic no se limita únicamente a la banca móvil, sino que se dirige también a servicios de pago, plataformas de "compra ahora, paga después", sistemas de remesas, aplicaciones y carteras de criptomonedas, así como a navegadores, clientes de correo electrónico y aplicaciones de mensajería. Asimismo, el troyano apunta a aplicaciones estatales destinadas a la identificación y autenticación. En total, el malware supervisa 169 identificadores de paquete, lo que demuestra una cobertura exhaustiva de aplicaciones sensibles.
En cuanto a su cronología, el rastreo de la infraestructura inicial de Manic se remonta a febrero de 2026. Posteriormente, en julio del año en curso, se lanzó una versión rediseñada que incorpora mejoras significativas en sus controles anti-análisis, dificultando la detección por parte de los investigadores de seguridad.
La innovación más alarmante de Manic reside en su método de captura de datos. A diferencia de otros troyanos que utilizan la superposición de pantallas falsas para engañar al usuario, Manic emplea una técnica mucho más discreta. El malware detecta la aparición de un teclado numérico en una de las aplicaciones objetivo y, en ese instante, coloca una superficie transparente sobre las teclas reales. Esta capa permite registrar la posición exacta de cada toque realizado por el usuario.
Una vez que el usuario pulsa una tecla, el troyano registra la posición y reproduce la acción utilizando los servicios de accesibilidad de Android. De este modo, la aplicación bancaria o de seguridad recibe el PIN o la clave como si hubiera sido introducida de forma normal, mientras que la información es enviada simultáneamente al atacante, sin que se produzca ninguna señal sospechosa en la pantalla. Esta estrategia explota la confianza del usuario al eliminar los indicios visuales habituales del malware.
Además, se ha identificado una función denominada “autoEnterPin”, la cual es capaz de introducir automáticamente un PIN o patrón previamente capturado en la pantalla de bloqueo. El malware también es capaz de clasificar los datos robados según su naturaleza, diferenciando entre contraseñas, códigos SMS o frases de recuperación para monederos de criptomonedas.
Otro aspecto singular es su sistema de exfiltración de datos. Si un dispositivo infectado no dispone de conexión a internet, el troyano cifra la información y la almacena localmente. Posteriormente, utiliza tecnologías como Wi-Fi Direct, Bluetooth o Bluetooth Low Energy para buscar otros teléfonos infectados cercanos que sí tengan acceso a la red. Si encuentra uno, transfiere el paquete de datos, proceso que puede repetirse saltando hasta cuatro dispositivos diferentes antes de alcanzar el servidor del atacante. Esto implica que desconectar el teléfono de la red no garantiza la protección si existen otros equipos comprometidos en el entorno.
Para evadir la detección, Manic utiliza un envoltorio y un implante, camuflándose con nombres de paquetes que simulan ser componentes legítimos de fabricantes como Intel, Honor, Lenovo, Huawei, Apple y Motorola. En su versión más reciente, el malware elimina su propio icono del menú de aplicaciones para pasar inadvertido.
Para combatir esta amenaza, ThreatFabric advierte que el troyano depende de dos permisos críticos: el acceso a notificaciones y los servicios de accesibilidad. Se recomienda a los usuarios revisar la sección de accesibilidad en los ajustes de Android y desactivar cualquier servicio no reconocido. Asimismo, se sugiere verificar el estado de Google Play Protect en la tienda Play Store, ya que Manic intenta desactivar esta herramienta mediante toques automatizados.
