נניח שגיליתם שהטלפון שלכם נגוע. הצעד המתבקש, עוד לפני שמנקים אותו, הוא לנתק אותו מהעולם: מצב טיסה, כיבוי ה-Wi-Fi, ביטול חבילת הגלישה. ברוב המקרים זה מספיק כדי לעצור את הדליפה, כי לנוזקה אין דרך לשלוח את מה שאספה החוצה. אצל נוזקה חדשה בשם Manic זה לא עובד ככה. המידע שהיא כבר אספה פשוט ממתין בתור מוצפן, ומחפש טלפון נגוע אחר באותו חדר, כזה שכן מחובר לרשת, כדי לצאת דרכו.

חוקרי ThreatFabric, חברת אבטחה למובייל, פרסמו ב-20 באוגוסט 2026 ניתוח של Manic ותיארו אותה כשילוב בין נוזקת בנקאות לתוכנת ריגול. היא עוקבת אחרי 169 אפליקציות, בנקים, שירותי ממשל דיגיטליים, ארנקי קריפטו ואפליקציות הודעות, כשהמוקד המרכזי הוא משתמשים באוקראינה, לצד מדינות במרכז ומערב אירופה, בריטניה ורוסיה. אבל מה שמייחד אותה הוא לא רשימת המטרות, אלא מנגנון ההברחה שמנתק את התלות שלה בשרת יחיד. בהמשך נעבור על איך היא מגיעה למכשיר, מה היא מסוגלת לעשות שם, ולמה דווקא היכולת להתפשט בין מכשירים קרובים היא הפרט המדאיג.

מאיפה זה מתחיל: אפליקציה שנראית כמו עדכון מערכת

Manic לא מגיעה מחנות האפליקציות הרשמית. היא מופצת דרך אתרי פישינג ואפליקציות דרופר (אפליקציה תמימה למראה שכל תפקידה להתקין את הנוזקה האמיתית ברקע). ThreatFabric מצאו שני סוגי רכיבים. הראשון הוא ה-Wrapper, עטיפה שמתחזה לכלי שירות מוכר, למשל תחת שמות חבילה כמו tech.intel.dialer.updater או org.honor.secure.helper, ששמם לבד נראה כמו רכיב אמין של היצרן. השני הוא ה-Implant, הרכיב שעושה בפועל את העבודה, עם שמות כמו org.lenovo.storage.processor או tech.apple.dialer.scheduler.

המכנה המשותף לכולם: שם שנשמע כמו משהו שהמערכת הייתה מתקינה בעצמה. משתמש שרואה בקשת הרשאות מ"מעבד אחסון של Lenovo" נוטה לאשר בלי לחשוב פעמיים. וזו בדיוק הנקודה שבה Manic משיגה את מה שהיא צריכה.

המפתח לכל השאר: שירות הנגישות

כמו רוב נוזקות הבנקאות המתוחכמות לאנדרואיד, Manic בונה את כל היכולות שלה על הרשאת אחת שהמשתמש מאשר: שירות הנגישות (Accessibility Service). זהו שירות שגוגל בנתה כדי לאפשר לאפליקציות עזר לקרוא ולתפעל את המסך עבור אנשים עם מוגבלות, למשל להקריא טקסט או ללחוץ על כפתורים במקום המשתמש. אותה יכולת בדיוק, בידיים לא נכונות, נותנת לתוקף עיניים וידיים בתוך הטלפון.

Manic מנצלת את ההרשאה הזאת כדי לתפקד כ-keylogger ברמת הממשק: היא קוראת כל טקסט שמופיע או מוקלד על המסך, וממיינת אותו לקטגוריות. ThreatFabric מפרטים שהנוזקה מסווגת בין קלט של מסך נעילה, ביטויי שחזור (recovery phrase, רצף המילים ששחזור ארנק קריפטו נשען עליו), קודי SMS בני 4 עד 6 ספרות, סיסמאות, הודעות ופרטי כניסה למייל. כל רשומה נשמרת עם שם החבילה שממנה הגיעה, חותמת זמן, וסימון אם המקור היה מילוי אוטומטי.

גניבת קוד ה-PIN של אפליקציות הבנק נעשית בטכניקה מעניינת. במקום שכבת פישינג שקופה שמוצבת מעל האפליקציה ומחליפה את המסך המקורי, Manic משתמשת ברכיב שהחוקרים מכנים pinPadOverlay: היא מכסה רק את אזור מקלדת הספרות, מתעדת את מיקום ההקשות, ולרגע קצר משביתה את היירוט כדי לתת ללחיצה לעבור לאפליקציה האמיתית. כך התשלום מתבצע כרגיל, המשתמש לא חושד, והתוקף כבר יודע את הקוד.

מעבר לתיעוד פסיבי, Manic מאפשרת גם שליטה חיה. המפעילים יכולים לצפות במסך ולתפעל את המכשיר מרחוק דרך חיבורי WebRTC, אותו פרוטוקול שמאחורי שיחות וידאו בדפדפן, בשילוב צילומי מסך וצילום מהמצלמה הקדמית. כדי שהקורבן לא יבחין שמישהו אחר נוגע בטלפון, הנוזקה מסתירה את הפעילות מאחורי מסך שחור, מזויף, או מסך "עדכון מתבצע".

החלק החדש: מידע שיוצא דרך הטלפון של השכן

עד כאן, Manic היא נוזקת בנקאות משוכללת אבל מוכרת. מה שהופך אותה למקרה מבחן הוא מה שקורה כשהמסלול הרגיל של הוצאת המידע נחסם.

כל נוזקת ריגול צריכה בסוף לשלוח את מה שאספה לשרת שליטה ובקרה (C2, השרת שדרכו התוקף מקבל את הגניבה ושולח פקודות). כאן טמונה נקודת התורפה הקלאסית שלה: אם המכשיר מנותק מהרשת, המידע תקוע. Manic פותרת את זה בגישה שאולה מעולם רשתות המחשוב, store-and-forward, אחסון והעברה: המידע לא חייב לצאת עכשיו ולא חייב לצאת ישירות.

כשהמכשיר הנגוע לא מצליח להגיע לשרת, הנוזקה לא מוותרת. היא אורזת את החבילות בהצפנת AES-GCM, מכניסה אותן לתור מקומי, ומתחילה לחפש מכשירים נגועים אחרים בקרבת מקום. לפי ThreatFabric, היא מנסה קודם עמית שכבר יש איתו חיבור Wi-Fi Direct קיים, ורק אם אין, פונה למכשירי Bluetooth ו-BLE (Bluetooth Low Energy) כדי לבדוק אם למי מהם יש גישה לאינטרנט. מצאה כזה, היא מעבירה אליו את החבילה, והוא ממשיך את המסע. אם אף אחד בסביבה לא מחובר, החבילה נשארת בתור ומחכה להזדמנות הבאה.

המסלול הזה יכול לעבור כמה תחנות. החוקרים מציינים שפריטים חדשים בתור מוגדרים כברירת מחדל למקסימום של ארבע קפיצות בין מכשירים. במילים אחרות, מידע יכול לזלוג מטלפון א' שאין לו רשת, דרך ב' ו-ג', עד שהוא מגיע לטלפון ד' שכן מחובר, ורק ממנו לצאת החוצה אל השרת. ThreatFabric מנסחים את המסקנה בפשטות: הסרת הגישה הישירה לאינטרנט ממכשיר נגוע לא בהכרח מונעת את הוצאת המידע.

זו לא חולשה בסמארטפון עצמו ולא פרצה חדשה במערכת ההפעלה. זה שימוש חכם בכלים שכבר קיימים בכל טלפון, ערוצי הקישור המקומיים שנועדו לשיתוף קבצים ולאביזרים אלחוטיים, כדי לבנות רשת הברחה בין הקורבנות עצמם. ככל שיש יותר מכשירים נגועים באותה סביבה, משרד, אזור מגורים, אולם, כך היכולת הזאת שווה יותר.

ההשלכה המעניינת היא על ההגנה. ניטור רשת קלאסי מחפש תעבורה חשודה שיוצאת מהמכשיר אל שרת מרוחק, וכאן חלק מהמכשירים בכלל לא מדברים עם השרת, אלא רק עם השכן ליד. הקפיצה בין מכשירים קרובים לא מייצרת בהכרח את החתימה שכלי ההגנה הרגילים מחפשים, ומכשיר שכולם מניחים שהוא מנותק ולכן בטוח יכול להיות דווקא התחנה שדרכה זולג המידע של אחרים.

הראיות: כלי שעדיין בפיתוח פעיל

Manic היא לא פרויקט מזדמן. ThreatFabric שחזרו ציר זמן שמתחיל בפברואר 2026, אז נרשמה התשתית הראשונה, ממשיך להשקת סביבות הפיתוח והייצור לקראת אפריל, לפריסה הראשונה של Wrapper ו-Implant בסוף מאי, ולגל עדכונים ביולי שכלל בדיקות אנטי-ניתוח חזקות יותר, טעינת קוד DEX ישירות לזיכרון, ופישינג של סודות מסך הנעילה. במקביל הועלו פאנל ניהול ו-API חדשים.

היקף היכולות מעיד גם הוא על השקעה. הנוזקה מקבלת מהשרת 49 פקודות שונות, בהן שליטה מרחוק, צילום מסך, מעקב מיקום עם קואורדינטות ורמת דיוק, ייצוא של SMS, אנשי קשר והיסטוריית שיחות, פעולות על קבצים, והרצת קודי USSD. "ההתפתחות שנצפתה בין מאי ליולי 2026 מעידה ש-Manic נמצאת בפיתוח פעיל", כתבו החוקרים.

מה זה אומר בפועל

לרוב המשתמשים בישראל, Manic ספציפית עדיין רחוקה, המוקד שלה הוא אוקראינה ואירופה. אבל הטכניקה המרכזית שלה היא בדיוק הסוג של רעיון שנודד מהר בין משפחות נוזקות, וההגנה מפניה מתחילה בהרגלים בסיסיים: להתקין אפליקציות רק מהחנות הרשמית, ולהתייחס בחשדנות לכל אפליקציה שמבקשת גישה לשירות הנגישות, במיוחד אם היא הגיעה מקישור או מהודעה. זו ההרשאה שפותחת לתוקף את כל השאר. מי שמנהל מכשירים בארגון יכול לבדוק אם בקרת ה-MDM שלו מגבילה הענקת הרשאת נגישות לאפליקציות שלא אושרו מראש, ולזכור שאם מכשיר כבר נחשד כנגוע, ניתוק מהרשת הוא צעד ראשון טוב, אך לא ערובה מלאה.