Android 惡意軟件 Manic 可經感染手機接力偷資料，斷網都未必截得住
藍牙只負責搬資料，附近手機要一早中招先接到力
Android 惡意軟件 Manic 多咗一招幾少見嘅資料接力功能。iThome 報道，受感染手機連唔到攻擊者嘅 C2 server 時，Manic 仍可經附近另一部已感染手機送走資料。呢點值得講清楚，因為藍牙同 Wi‑Fi Direct 只負責傳送已偷到嘅資料，唔會自動整埋附近正常手機。
ThreatFabric 話 Manic 集中針對烏克蘭，監察緊 169 個 app 套件識別碼，涵蓋銀行、支付、加密貨幣錢包、政府電子身分、通訊同電郵服務。公開名單亦涉及俄羅斯同多個歐洲國家，但暫時未見香港銀行 app 或本地服務；現階段亦冇證據顯示香港有感染個案。公開技術分析暫時主要得 ThreatFabric 一間公司提供，實際影響有幾大，仲要等其他研究隊伍交叉確認。
接力功能實際點行
ThreatFabric 拆解樣本後發現，Manic 會用 AES-GCM 加密偷返嚟嘅檔案同指令結果，再放入手機本地佇列。如果手機直連唔到 C2，惡意程式會先搵已有連線嘅 Wi‑Fi Direct 裝置，再查附近嘅傳統藍牙 RFCOMM 同低功耗藍牙 GATT 裝置，睇吓有冇同類感染手機可以代為上網。新資料預設最多接力四次，搵唔到出口就留低，遲啲再試。
所以，熄咗流動數據或者斷開 Wi‑Fi，未必即時阻止已感染手機漏資料。不過呢招有個好現實嘅限制：附近一定要有另一部預先感染 Manic、兼且連到網嘅手機。感染密度唔夠，接力網就砌唔成；單一用戶附近未必有另一部中招手機，所以接力成功機會，會低過多人長時間共處嘅辦公室、宿舍或前線工作環境。後者只係按技術條件推斷，ThreatFabric 冇公開證據話呢啲場所已經出現接力個案。
圖片：ThreatFabric
真正危險嘅權限組合
接力只係 Manic 最搶眼嗰部分，佢攞到嘅控制力其實更麻煩。用戶一旦開咗無障礙功能同通知存取權限，惡意程式就可以讀畫面文字、通知、SMS 驗證碼、密碼同加密貨幣復原詞。攻擊者亦可用 WebRTC 睇住手機畫面，再借無障礙功能代用戶撳掣，操作期間仲可用黑畫面、假畫面或更新提示遮住動作。
佢偷銀行 PIN 嘅手法都幾陰濕：Manic 會喺真正銀行 app 嘅數字鍵盤上蓋一層透明介面，先記低用戶撳咗邊個位置，再短暫放開攔截，同時叫無障礙功能喺原位重按一次。銀行 app 照常收到輸入，用戶表面上亦冇撞板，但每一下已俾惡意程式記低。呢種做法少咗傳統假登入頁嗰種破綻，單靠畫面睇起嚟正常都唔可靠。
圖片：ThreatFabric
最初點中招仍然未講清楚
ThreatFabric 只表示 Manic 已喺真實攻擊活動出現，報告有列出包裝程式、植入程式同檔案雜湊，但冇交代攻擊者最初用咩渠道誘使受害人安裝。所以而家唔應該斷言佢一定經短訊、假銀行網站或者某個 app 商店散播。可以肯定嘅係，Manic 要先裝入手機，再取得幾項高風險權限，先做到偷資料、遙控同裝置接力。
呢個空位亦解釋咗點解日常防護仍要由 APK 同權限入手。Google 指出，Android 13 或以上會限制側載 app 開啟部分敏感設定；如果一個來歷不明嘅 app 叫你手動「允許受限制設定」，再要求無障礙功能或通知存取，已經係好明顯嘅警號。銀行、速遞或政府服務突然叫你喺網頁下載 APK，同樣唔好照做，應該自己去官方網站或可信 app 商店核對。
Android 用戶可以即刻檢查
先入「設定」嘅無障礙功能頁面，睇吓有冇陌生 app 獲准控制手機；跟住搜尋「通知存取權」，關掉任何講唔出用途嘅項目。再到「App／特殊 app 存取權／安裝不明 app」，取消瀏覽器、通訊 app 或檔案管理器安裝 APK 嘅資格。各品牌選單名會有少少唔同，直接用設定頁搜尋會快啲。Google Play Protect 應該保持開啟，連「改善有害 app 偵測」都一併打開，等系統掃描 Play 商店以外裝入嘅 app。
如果懷疑手機已經中招，除咗斷網，亦要關掉藍牙同附近裝置連線，再同其他手機分開擺。唔好繼續用嗰部機登入銀行或重設密碼，應改用可信裝置聯絡銀行、檢查交易同處理帳戶。Manic 暫時未見針對香港，但側載 APK 加高風險權限呢條入侵路線，對任何 Android 用戶都一樣危險。
參考來源
- iThome — Android惡意軟體Manic讓感染手機接力傳送資料，斷開網際網路仍可能外洩 — original report
- Manic: Blend Between Banking Malware and Spyware — ThreatFabric 原始技術分析，交代 169 個目標套件、權限濫用、PIN 攔截同裝置接力細節。
- Use Google Play Protect to help keep your apps safe & your data private — Google 官方說明 Play Protect 點樣掃描側載 app、發警告同封鎖高風險安裝。
- Learn about restricted settings — Google 官方解釋 Android 點樣限制側載 app 開啟無障礙功能等敏感設定。
- Download apps to your Pixel phone — Google 官方提供關閉「安裝不明 app」權限嘅設定路徑。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
