ThreatFabric zufolge setzt Manic nach erteilten Berechtigungen für Accessibility und Benachrichtigungszugriff tief im System an. Die Malware kann die Sperrbildschirm-PIN oder das Passwort erfassen, Benachrichtigungen und SMS-Nachrichten abfangen, Dateien und Standortdaten sammeln, den Bildschirm überwachen und den Angreifern über WebRTC-Sitzungen eine Fernsteuerung des Geräts ermöglichen.
Die erfassten Informationen werden laut ThreatFabric nach Typ sortiert, damit sie für die Betreiber leichter nutzbar sind. Die Forscher beschreiben die Accessibility-Funktion von Manic als eine Art Tastatur-Logger für die Benutzeroberfläche. Dabei klassifiziere die Malware den erfassten Text vor der Speicherung und unterscheide unter anderem Sperrbildschirm-Eingaben, mögliche Wiederherstellungsphrasen, vier- bis sechsstellige SMS-Codes, Passwörter, lange Nachrichten, E-Mail-Anmeldungen und gewöhnlichen Text.
Ungewöhnlich ist vor allem der Ausleitungsweg bei fehlender Verbindung zum C2-Server. Nach Angaben von ThreatFabric werden die Daten verschlüsselt und über kompromittierte Geräte in der Nähe per Wi-Fi Direct oder Bluetooth übertragen. Manic versuche zunächst, eine bestehende Wi-Fi-Direct-Verbindung zu nutzen, und prüfe danach Bluetooth- und BLE-Gegenstellen darauf, ob sie über eine Internetverbindung verfügen.
Falls nötig, kann die Malware den Forschern zufolge auch Mehrsprung-Routen verwenden. Neu eingereihte Datenobjekte seien standardmäßig für maximal vier Weiterleitungsstationen konfiguriert. Dadurch sei eine Datenexfiltration selbst von Offline-Geräten möglich, solange sich ein anderes infiziertes Gerät in Reichweite von WLAN oder Bluetooth befindet.
Bei den Zielen geht es laut ThreatFabric nicht nur um Finanz-Apps. Die Malware greift mindestens 169 Anwendungen an, darunter Banking-, Regierungs- und eID-, Zahlungs-, Krypto-Wallet-, Messaging- sowie Authenticator- und 2FA-Apps. Der Schwerpunkt liege offenbar auf Banking- und staatlichen eID-Anwendungen in der Ukraine sowie auf globalen Fintech- und Kryptowährungsdiensten.
Wie Manic auf die Geräte gelangt, ist laut den Forschern bislang unklar. Ende Mai beobachtete ThreatFabric jedoch einen Wrapper, der die Hauptnutzlast an die Opfer auslieferte. In den folgenden Monaten sei die bestehende Infrastruktur ausgebaut worden.
Im Juli wurde nach Angaben der Forscher ein aktualisierter Wrapper mit stärkeren Mechanismen gegen Analysen und mit DEX-Nachladen im Arbeitsspeicher in Angriffen beobachtet. Außerdem seien ein neues Panel und eine neue API ausgerollt worden.