ThreatFabric zufolge setzte kurz nach der Registrierung der ersten Domain die aktive Entwicklung ein. Der erste Wrapper lockte mit einer Buchungs-App, das eigentliche Implantat tauchte bis Ende Mai auf. Zwischen Ende Juni und Mitte Juli wurden diese Aktivitäten dann offenbar aufgegeben, ehe um den 13. Juli Hinweise auf eine zweite Ausrollung sichtbar wurden. Die neuere Variante von Wrapper und Implantat bringt laut dem Bericht stärkere Schutzmechanismen gegen Analyse sowie die Fähigkeit mit, Geheimnisse des Sperrbildschirms per Phishing abzugreifen. Ein zugehöriges Panel und eine Programmierschnittstelle gingen anschließend zwischen dem 24. und 28. Juli online.

Bei der Analyse stieß ThreatFabric auf 169 überwachte Paketkennungen. Sie gehören zu Banken, Peer-to-Peer-Zahlungsdiensten und „Jetzt kaufen, später zahlen“-Angeboten, Krypto-Wallets und -Börsen, Messaging-Apps, Behörden- und eID-Diensten, Browsern, Authenticatoren und E-Mail-Clients. Der Schwerpunkt liegt auf ukrainischen Anwendungen, auf der Liste finden sich aber auch Apps aus Russland, Mittel- und Westeuropa sowie dem Vereinigten Königreich. Für ThreatFabric deutet diese Auswahl auf eine Mischung aus Banking-Malware und Spyware hin; Finanzbetrug sei ein zentrales Ziel, daneben würden auch staatliche Identitäts-Apps und Authenticatoren ins Visier genommen.

Hinzu kommt, dass Manic laut dem Bericht auch kommerzielle und militärisch ausgerichtete Messenger angreift. Weil die Malware Standortverfolgung, Überwachung von Benachrichtigungen, das Sammeln von Dateien und die Fernüberwachung des Geräts ermöglicht, kann der Betreiber damit finanzielle Aktivitäten, Kommunikation und Aufenthaltsorte eines Opfers in Echtzeit verfolgen.

Wie andere Android-Schadsoftware missbraucht Manic dafür die Bedienungshilfen von Android sowie Benachrichtigungsrechte. So kann die Malware Geheimnisse vom Sperrbildschirm erfassen oder gefälschte Überlagerungen einblenden, um sensible Daten abzugreifen oder bösartige Aktivitäten mit schwarzen Bildschirmen oder vermeintlichen Update-Anzeigen zu verbergen.

Eine besonders bemerkenswerte Funktion ist laut ThreatFabric das Abfangen von PIN-Codes. Dabei legt Manic eine transparente Schicht über den legitimen Ziffernblock einer Zielanwendung. Tippt der Nutzer darauf, zeichnet die Malware die genaue Position und das benachbarte Bedienelement auf. Anschließend schaltet sie die Abfangfunktion kurz ab und wiederholt die Eingabe an derselben Stelle auf dem echten Tastenfeld mithilfe der Programmierschnittstelle der Bedienungshilfen. Die angegriffene App funktioniert dadurch normal weiter, während der Angreifer den PIN-Code erhält, ohne eine gefälschte Banking-Oberfläche anzeigen zu müssen.

Für die Persistenz setzt Manic laut ThreatFabric auf Hintergrundprozesse, Alarme sowie die Bedienungshilfen- und Benachrichtigungsdienste. Diese Komponenten halten die Kommunikation mit der Kommando-und-Kontroll-Infrastruktur aufrecht, verarbeiten Befehle, laden zwischengespeicherte Daten hoch und synchronisieren das Offline-Mesh. Je nach Build geschieht das periodisch alle 10 bis 15 Minuten.

Am ungewöhnlichsten ist jedoch der Store-and-Forward-Mechanismus zur Exfiltration. Kann ein kompromittiertes Gerät die vom Angreifer kontrollierte Infrastruktur nicht direkt erreichen, sucht Manic nach einem zweiten infizierten Android-Gerät in unmittelbarer Nähe, das als alternativer Weg zum C2-Server dienen kann. Die Malware unterstützt dabei auch Routen über mehrere Stationen. Standardmäßig dürfen zwischengespeicherte Elemente bis zu vier Weiterleitungs-Sprünge durchlaufen; findet sich kein anderer Knoten, bleiben die Daten in der Warteschlange und der Versuch wird später wiederholt.

Gegenüber The Hacker News erklärte ThreatFabric, jedes neu eingereihte Element erhalte standardmäßig ein Limit von vier Sprüngen, auch wenn dieser Wert konfigurierbar sei. Die Weiterleitungsmetadaten enthielten zudem den aktuellen Sprungzähler. Findet ein online befindliches Gerät keine anderen Knoten, könne es eine Wi‑Fi-Direct-Gruppe erstellen. Alle erhaltenen Builds verwendeten denselben Netzwerknamen und versuchten bis zu drei Mal, die Gruppe anzulegen. Gerade deshalb verhindert das Trennen eines infizierten Geräts vom Internet nach Einschätzung von ThreatFabric nicht zwingend den Abfluss von Daten, weil Manic ein anderes kompromittiertes Android-Gerät als Übergang zum Netz missbrauchen kann.