Imagina que abres la aplicación de tu banco, introduces tu PIN como lo haces todos los días y continúas con la operación sin notar absolutamente nada extraño. El teclado que aparece es el habitual, la pantalla parece normal y no hay una ventana sospechosa pidiendo tus datos. Sin embargo, según un informe de ThreatFabric, una nueva amenaza para Android denominada Manic utiliza precisamente esa confianza para intentar capturar información sensible mientras el usuario interactúa con aplicaciones legítimas.

El funcionamiento descrito representa una diferencia frente a otros programas maliciosos que recurren a pantallas falsas para engañar a las víctimas. Manic puede colocar una superficie transparente sobre un teclado numérico y registrar dónde toca el usuario. De esta manera, el atacante puede obtener información relacionada con el PIN sin que la víctima tenga que escribir sus datos en una pantalla aparentemente falsa.

El alcance de la amenaza también resulta relevante. El reporte señala que Manic supervisa 169 identificadores de aplicaciones, incluyendo bancos, servicios de pago, plataformas de remesas, aplicaciones de criptomonedas, navegadores, correo electrónico, mensajería y sistemas estatales de identificación. La campaña identificada se concentra en Ucrania, aunque la lista de objetivos incluye servicios utilizados en diferentes países europeos.

Cómo funciona el troyano Manic

La particularidad de Manic Android está en que busca pasar desapercibido durante una acción que millones de personas realizan diariamente: tocar la pantalla para introducir un código. En lugar de presentar una copia visual de una aplicación bancaria, el programa malicioso aprovecha determinadas funciones del propio dispositivo para observar la posición de los toques realizados sobre un teclado numérico.

Cuando identifica una aplicación objetivo y detecta un teclado de este tipo, el troyano coloca una superficie transparente sobre las teclas. Cada toque puede quedar registrado según su posición y posteriormente la acción puede ser reproducida mediante las funciones de accesibilidad de Android. Desde el punto de vista del usuario, la operación puede continuar con normalidad, mientras la información obtenida queda disponible para los responsables del malware.

El informe también identifica una función denominada “autoEnterPin”, diseñada para introducir automáticamente determinados datos capturados en la pantalla de bloqueo y clasificarlos según su naturaleza. Entre la información que puede ser identificada se encuentran PIN, patrones, códigos recibidos mediante SMS, contraseñas y frases de recuperación relacionadas con carteras de criptomonedas.

La amenaza, por tanto, no se limita a intentar obtener credenciales bancarias. Su objetivo abarca diferentes tipos de información que pueden utilizarse para acceder a cuentas, servicios financieros o herramientas digitales. Para los usuarios, esto refuerza la importancia de revisar qué aplicaciones tienen permisos especiales en el teléfono.

Una amenaza que vigila 169 aplicaciones

El número de aplicaciones incluidas en los objetivos de Manic muestra el alcance de la campaña descrita por ThreatFabric. El troyano puede supervisar 169 identificadores de paquete correspondientes a servicios de diferentes categorías. La lista incluye entidades bancarias y aplicaciones de identificación electrónica de Alemania, Polonia, República Checa, Eslovaquia, Austria, Francia, España, Países Bajos, Estonia, Lituania y Reino Unido.

También aparecen servicios de pago, plataformas de compra ahora y paga después, sistemas de envío de dinero, aplicaciones relacionadas con criptomonedas y carteras digitales. A esto se suman navegadores, clientes de correo, aplicaciones de mensajería y servicios estatales destinados a identificación y autenticación.

La infraestructura relacionada con esta amenaza habría sido rastreada desde febrero de 2026, mientras que una versión rediseñada apareció en julio. De acuerdo con la información proporcionada, esa versión incorporó mejoras destinadas a dificultar el análisis del malware.

Otro detalle importante es que algunas versiones de Manic utilizan nombres de paquetes que pueden parecer componentes legítimos de fabricantes conocidos. Entre los nombres identificados aparecen referencias a Intel, Honor, Lenovo, Huawei, Apple y Motorola. Esta estrategia puede dificultar que un usuario reconozca inmediatamente que tiene instalado algo sospechoso.

El malware también puede ocultarse del usuario

La protección digital se vuelve más complicada cuando una amenaza intenta desaparecer de la vista. Según el reporte, la versión más reciente de Manic puede eliminar su icono del menú de aplicaciones. Esto significa que la persona afectada podría no encontrar fácilmente el programa al revisar las aplicaciones instaladas de la manera habitual.

El troyano también depende de permisos especialmente importantes dentro de Android. Entre ellos están los servicios de accesibilidad y el acceso a las notificaciones. Estos permisos tienen usos legítimos y son necesarios para determinadas herramientas, pero también pueden representar un riesgo si una aplicación desconocida obtiene acceso a ellos.

Por eso, una revisión sencilla de los permisos especiales puede convertirse en una medida útil de protección. Si un servicio de accesibilidad pertenece a una aplicación que el usuario no recuerda haber instalado o autorizado, conviene investigar antes de mantenerlo activo. Lo mismo ocurre con aplicaciones desconocidas que tienen acceso a las notificaciones.

Manic Android puede mover información sin conexión directa

Uno de los elementos más llamativos descritos en el informe es la forma en que Manic puede intentar enviar la información robada. Si un teléfono infectado no consigue conectarse directamente con el servidor de los atacantes, el malware puede almacenar los datos cifrados y buscar otro dispositivo comprometido que se encuentre cerca y tenga conexión a Internet.

Para ello puede utilizar conexiones inalámbricas de corto alcance como Wi-Fi Direct, Bluetooth o Bluetooth Low Energy. El mecanismo descrito permite que los datos pasen de un dispositivo infectado a otro antes de alcanzar finalmente la infraestructura controlada por los atacantes.

Según el reporte, la información podría saltar hasta cuatro veces entre diferentes dispositivos. Esto significa que dejar un teléfono sin conexión no necesariamente elimina el riesgo si permanece cerca de otro equipo comprometido que sí pueda conectarse a Internet. Para usuarios y empresas, el dato refuerza la importancia de evitar instalaciones desconocidas y controlar cuidadosamente los permisos especiales.

Qué hacer para proteger un teléfono Android

La prevención frente a Manic Android comienza por revisar las funciones que permiten a una aplicación interactuar de forma amplia con el dispositivo. No se trata de desactivar herramientas legítimas sin motivo, sino de comprobar que los permisos importantes pertenecen a aplicaciones conocidas y que fueron autorizados conscientemente.

Entre las medidas que conviene revisar se encuentran:

  • Comprobar los servicios de accesibilidad activos
  • Revisar qué aplicaciones tienen acceso a notificaciones
  • Mantener Google Play Protect activado
  • Evitar instalar aplicaciones desde fuentes desconocidas
  • Revisar periódicamente las aplicaciones instaladas
  • No conceder permisos especiales a aplicaciones que no los necesitan
  • Mantener Android y las aplicaciones actualizadas

ThreatFabric también señala que Manic intenta desactivar Google Play Protect mediante toques automatizados. Por ello, revisar que esta protección continúe activa en Google Play Store es una medida adicional que puede ayudar a detectar o bloquear determinadas amenazas.

Para las empresas, estas recomendaciones adquieren todavía más importancia. Los teléfonos utilizados para acceder a cuentas corporativas, servicios financieros, correo electrónico o sistemas de autenticación contienen información que puede tener consecuencias más amplias si cae en manos equivocadas. Una política sencilla de instalación de aplicaciones y una revisión periódica de permisos pueden reducir riesgos.

La información disponible sobre Manic Android muestra una amenaza que busca aprovechar acciones cotidianas y pasar desapercibida. El robo de información no necesariamente requiere que el usuario vea una pantalla falsa o reciba una advertencia evidente; en este caso, el método descrito intenta aprovechar los propios elementos de interacción del teléfono.

Por ahora, el reporte identifica una campaña dirigida principalmente a usuarios de determinados países europeos y una lista amplia de aplicaciones potencialmente vigiladas. La recomendación más práctica para cualquier usuario es mantener el control sobre las aplicaciones instaladas, revisar permisos especiales y comprobar que las herramientas de protección del dispositivo continúan activas. Manic Android demuestra que la seguridad móvil no depende únicamente de reconocer mensajes sospechosos, sino también de saber qué aplicaciones tienen acceso a las funciones más importantes del teléfono.