Manic على أندرويد: كيف تسرق PIN وكلمات المرور والمحافظ الرقمية؟

كشفت شركة ThreatFabric في أغسطس 2026 عن برمجية خبيثة جديدة لأندرويد تحمل اسم Manic، وتجمع بين قدرات حصان طروادة البنكي وبرامج التجسس والتحكم عن بعد في الجهاز.

الأخطر أن Manic لا تستهدف تطبيقًا واحدًا فقط. التحليل الرسمي يرصد 169 معرّف حزمة لتطبيقات تشمل بنوكًا وخدمات دفع ومحافظ ومنصات عملات رقمية وتطبيقات مصادقة ومراسلة وبريدًا ومتصفحات وخدمات هوية حكومية.

الاستهداف المرصود يتركز بقوة في أوكرانيا، ويمتد إلى روسيا ودول أوروبية وخدمات مالية وعملات رقمية عالمية.

وحتى وقت تحديث هذا المقال، لا يوجد في تقرير ThreatFabric العلني ما يثبت استهداف بنوك مغربية أو سعودية بعينها. لذلك لا ينبغي تقديم Manic كحملة مؤكدة ضد مستخدمي المغرب أو السعودية.

🦠 ما هي برمجية Manic على أندرويد؟

تصف ThreatFabric برمجية Manic بأنها منصة احتيال على Android تجمع خصائص البرمجيات البنكية الخبيثة وبرامج التجسس على الهواتف.

وهذا يعني أنها لا تكتفي بمحاولة سرقة بيانات مالية، بل تجمع أيضًا معلومات عن الجهاز والمستخدم وتتيح للمشغّل مراقبة الهاتف والتفاعل معه.

يرجع النشاط المرتبط بالبنية التحتية التي تتبعتها الشركة إلى فبراير 2026، ثم ظهرت مراحل تطوير متلاحقة في مارس وأبريل ومايو.

وبحلول يوليو ظهرت نسخ تتضمن تحسينات مضادة للتحليل، وتحميل DEX داخل الذاكرة، ومحاولات أكثر تطورًا لسرقة أسرار قفل الجهاز.

هذه السرعة في التطور مهمة لأنها تشير إلى أن Manic ليست عينة قديمة ثابتة، بل عائلة برمجيات خبيثة ما زالت تتغير وتتوسع في قدراتها.

🎯 ماذا تستهدف Manic؟ ولماذا رقم 169 مهم؟

الرقم 169 لا يعني وجود 169 بنكًا مخترقًا أو 169 ضحية مؤكدة. المقصود أن الكود الذي حللته ThreatFabric يراقب 169 package IDs مرتبطة بتطبيقات يعتبرها المهاجمون أهدافًا مهمة.

وتشمل هذه القائمة بنوكًا وخدمات دفع وتحويل أموال ومنصات ومحافظ عملات رقمية وتطبيقات مصادقة ثنائية وخدمات هوية حكومية ومراسلة وبريدًا ومتصفحات.

التركيز الأكبر على أوكرانيا، مع وجود أهداف في روسيا وبولندا والتشيك وسلوفاكيا والنمسا وألمانيا وفرنسا وإسبانيا وهولندا وإستونيا وليتوانيا والمملكة المتحدة، إضافة إلى خدمات مالية وعملات رقمية عالمية.

لا تظهر المغرب أو السعودية ضمن قائمة الدول البنكية التي نشرها تحليل ThreatFabric الحالي. لذلك الأدق أن نقول إن وسائل الخطر قابلة للتطبيق عالميًا، لكن الاستهداف البنكي المحلي في المغرب والسعودية غير مثبت حتى الآن.

🔑 كيف تسرق Manic كلمات المرور والرموز؟

بعد حصول التطبيق الخبيث على Accessibility والوصول إلى الإشعارات، يستطيع Manic استخدام خدمة إمكانية الوصول كأداة لتسجيل تفاعلات واجهة المستخدم والنصوص الحساسة.

بحسب ThreatFabric، يفرّق الكود بين أنواع مختلفة من البيانات التي يلتقطها، مثل إدخال شاشة القفل، وكلمات المرور، ورسائل البريد، والرموز المكونة من 4 إلى 6 أرقام، والنصوص التي قد تمثل عبارات استرداد للمحافظ.

كما يمنحه الوصول إلى الإشعارات ورسائل SMS رؤية أوسع لعمليات المصادقة، بما فيها الرموز المؤقتة التي تصل عبر الرسائل أو الإشعارات.

هذا لا يعني أن أي تطبيق يطلب Accessibility خبيث، لأن هذه الخدمة لها استخدامات مشروعة. الخطر يرتفع عندما يطلب تطبيق مجهول أو غير مرتبط بوظيفته صلاحيات وصول واسعة إلى Accessibility والإشعارات في الوقت نفسه.

🔢 كيف تسرق Manic رمز PIN من داخل التطبيق البنكي الحقيقي؟

هذه من أكثر تقنيات Manic إثارة للقلق. عند اكتشاف لوحة أرقام داخل تطبيق مستهدف، يستطيع Manic وضع طبقة شفافة فوق منطقة الأزرار نفسها.

عندما ينقر المستخدم رقمًا، يسجل البرنامج الخبيث موضع النقرة والعنصر القريب منها، ثم يسمح للتطبيق البنكي الحقيقي باستقبال النقرة بصورة طبيعية عبر Accessibility.

النتيجة أن الضحية قد ترى التطبيق البنكي الحقيقي يعمل كما تتوقع، بينما يتم تسجيل تفاعلها مع لوحة الأرقام في الخلفية. وهذا يختلف عن أسلوب التصيد التقليدي الذي يعرض واجهة بنك مزيفة كاملة.

🔐 هل يستطيع Manic سرقة رمز قفل الهاتف؟

نعم، التحليل يوثق قدرات مرتبطة بأسرار القفل. ويوثق ThreatFabric وظيفتين منفصلتين هما pinPadOverlay لاعتراض PIN داخل التطبيقات المستهدفة، وautoEnterPin لمحاولة إعادة استخدام بيانات قفل الجهاز.

هذه القدرة تجعل الخطر أكبر من مجرد سرقة كلمة مرور تطبيق واحد، لأن معرفة سر قفل الهاتف قد تساعد المهاجم في التحكم الأوسع بالجهاز أو تنفيذ أوامر أثناء جلسة تحكم عن بعد.

إذا لاحظت تطبيقًا مجهولًا حصل على Accessibility أو Notification Access ثم اختفت أيقونته أو ظهرت شاشات سوداء أو تحديثات مزيفة، فهذه مؤشرات تستحق الفحص الفوري، لكنها لا تثبت وحدها وجود Manic.

💰 لماذا تشكل Manic خطرًا على المحافظ الرقمية؟

تطبيقات العملات الرقمية من الأهداف المهمة في قائمة Manic. البرمجية تستطيع تصنيف بعض النصوص التي تلتقطها على أنها مرشحة لعبارات استرداد المحافظ.

عبارة الاسترداد أخطر من كلمة مرور حساب عادية في كثير من المحافظ، لأنها قد تمنح من يمتلكها القدرة على استعادة المحفظة على جهاز آخر. لذلك لا ينبغي أبدًا إدخال Seed Phrase في تطبيق غير موثوق أو تخزينها في ملاحظة مكشوفة على الهاتف.

وإذا كنت تستخدم الهاتف للخدمات البنكية أو المحافظ، فطبقة حماية إضافية مهمة. راجع أفضل برامج مكافحة الفيروسات للأندرويد 2026 مع عدم الاعتماد على برنامج الحماية وحده كبديل عن مراجعة الصلاحيات ومصدر التطبيق.

🖥️ كيف يتحكم المهاجم في الهاتف عن بعد؟

Manic يدعم جلسات تحكم عبر WebRTC تسمح للمشغّل بمشاهدة الشاشة والتفاعل مع الجهاز عن بعد عبر إساءة استخدام Accessibility.

كما يستطيع البرنامج إخفاء بعض الأنشطة خلف شاشة سوداء أو واجهة مزيفة أو شاشة تحديث، وحتى إخفاء بعض نوافذ طلب الصلاحيات عن المستخدم.

ويوثق التحليل أوامر لجمع الموقع والرسائل وسجل المكالمات وجهات الاتصال والإشعارات وقائمة التطبيقات والملفات، إضافة إلى التقاط الشاشة وتنفيذ بعض الأوامر على الجهاز.

لهذا السبب يجمع Manic بين الجريمة المالية والتجسس الحقيقي، وليس مجرد "فيروس بنك" تقليدي.

📡 ما قصة نقل البيانات عبر هواتف مصابة قريبة؟

الميزة الأكثر غرابة في Manic هي آلية Store-and-Forward Relay. إذا لم يتمكن الهاتف المصاب من الاتصال مباشرة بخادم القيادة والتحكم، لا يتوقف البرنامج فورًا عن محاولة إخراج البيانات.

يضع الملفات والنتائج التي جمعها في طابور محلي بعد تشفيرها باستخدام AES-GCM، ثم يبحث عن جهاز مصاب آخر قريب يمكنه الوصول إلى الإنترنت.

يمكن للأجهزة المصابة التواصل عبر Wi-Fi Direct أو Bluetooth RFCOMM أو BLE GATT. وإذا وجد Manic جهازًا مناسبًا، يمرر إليه الحزمة المشفرة ليكمل الجهاز الآخر إرسالها إلى البنية التحتية للمهاجم.

ويشير التحليل إلى إمكانية استخدام عدة قفزات، مع إعداد افتراضي يصل إلى أربع مراحل ترحيل. لذلك فإن فصل الإنترنت عن هاتف مصاب قد يحد من الاتصال، لكنه لا يضمن وحده أن البيانات لن تخرج إذا وُجد جهاز مصاب آخر في النطاق اللاسلكي.

📥 كيف يصل Manic إلى الهاتف؟

هذه نقطة يجب التعامل معها بحذر. تقرير ThreatFabric الأصلي الذي استندنا إليه يشرح البنية والقدرات والتطبيقات المستهدفة، لكنه لا يثبت في نسخته العامة مسار توزيع استهلاكي واحدًا يمكن تعميمه على كل الإصابات.

لذلك لا أنصح بالقول إن Manic يصل حتمًا عبر رسالة SMS أو إعلان أو متجر معين ما لم يظهر تقرير حملة موثق يثبت ذلك.

ما نعرفه بثقة هو أن Manic يحتاج إلى الوصول إلى صلاحيات قوية مثل Accessibility والوصول إلى الإشعارات لكي يحقق الجزء الأكبر من قدراته. ولهذا يجب أن تكون أي مطالبة غير مبررة بهذه الصلاحيات علامة تحذير.

وقبل فتح رابط تنزيل تطبيق يصل من رسالة أو إعلان أو موقع غير مألوف، استخدم أدوات فحص الروابط المشبوهة قبل فتحها.

🚨 ما العلامات التي تستحق الفحص على هاتفك؟

لا توجد علامة واحدة تثبت أن الهاتف مصاب بـManic، ولا ينبغي تشخيص أي بطء أو سخونة على أنه إصابة بهذه البرمجية.

• تطبيق غير معروف لديه صلاحية Accessibility.
• تطبيق مجهول لديه Notification Access دون سبب واضح.
• ظهور شاشات سوداء أو تحديثات مزيفة أثناء استخدام الهاتف.
• اختفاء أيقونة تطبيق حديث التثبيت مع بقائه داخل قائمة التطبيقات.
• رسائل أو إشعارات مصادقة لا تتذكر أنك طلبتها.
• نشاط مالي أو محاولات تسجيل دخول غير مألوفة.
• تغييرات غير مبررة في إعدادات الحماية أو Play Protect.

لخطوات أوسع، راجع كيف تكشف برامج التجسس على Android، لأنه يغطي مؤشرات وصلاحيات لا تقتصر على Manic وحدها.

🛡️ ماذا تفعل إذا شككت في إصابة هاتفك؟

إذا كان الشك مجرد قراءة خبر Manic ولم تثبت تطبيقًا مجهولًا، فهذا لا يعني أن هاتفك مصاب. أما إذا ثبت أنك ثبّت تطبيقًا غير موثوق ومنحته Accessibility أو Notification Access، فتعامل مع الأمر بجدية أكبر.

أوقف استخدام الهاتف للمعاملات البنكية أو إدارة المحافظ مؤقتًا. استخدم جهازًا آخر موثوقًا لتغيير كلمات مرور الحسابات الحساسة، وابدأ بالبريد الإلكتروني والحسابات المالية لأنها قد تستخدم لاستعادة بقية الحسابات.

إذا كانت عبارة استرداد محفظة رقمية قد ظهرت على الهاتف أثناء فترة الاشتباه، فتعامل معها باعتبارها ربما انكشفت. اتبع إجراءات مزود المحفظة لنقل الأصول إلى محفظة جديدة بمفاتيح جديدة من جهاز موثوق.

افحص إعدادات Accessibility وNotification Access والتطبيقات المثبتة، وأزل الصلاحيات من أي تطبيق مجهول قبل حذفه. شغّل Play Protect وحدّث Android والتطبيقات من المصادر الرسمية.

وإذا كانت هناك معاملات مالية غير مصرح بها، تواصل مع البنك أو مزود خدمة الدفع فورًا عبر القنوات الرسمية. تغيير كلمة المرور وحده لا يلغي بالضرورة جلسة نشطة أو معاملة بدأت بالفعل.

لخطة حماية أوسع، راجع كيف تحمي هاتفك من الاختراق والتجسس.

🇲🇦🇸🇦 هل تستهدف Manic المغرب أو السعودية؟

حتى وقت تحديث هذا المقال، لا يذكر تحليل ThreatFabric بنوكًا مغربية أو سعودية ضمن قائمة الدول البنكية المستهدفة التي نشرها.

هذا لا يعني أن المستخدم في المغرب أو السعودية محصّن. بعض الأهداف التي يراقبها Manic خدمات عالمية مثل العملات الرقمية والمراسلة والبريد والمصادقة، كما أن تقنيات إساءة استخدام Accessibility وسرقة الإشعارات لا تعتمد على بلد واحد.

الصياغة الأدق حاليًا هي: لا يوجد استهداف بنكي مغربي أو سعودي مثبت علنًا في التقرير الحالي، لكن أسلوب الإصابة والصلاحيات والسرقة يمثل خطرًا عامًا على مستخدمي Android إذا وصلت البرمجية إليهم.

✅ هل Google Play Protect يحمي من Manic؟

وفق تصريح أرسلته Google إلى BleepingComputer في 22 أغسطس 2026، لم تجد الشركة وفق بيانات الرصد الحالية تطبيقات تحتوي على برمجية Manic داخل Google Play.

كما ذكرت أن مستخدمي Android المزودين بخدمات Google Play يحصلون تلقائيًا على حماية Play Protect ضد النسخ المعروفة من هذه البرمجية.

لكن هذا لا يعني أن Play Protect يوفر حماية مطلقة من كل نسخة حالية أو مستقبلية. Manic عائلة تتطور باستمرار، كما أن جانبًا مهمًا من الهجوم يعتمد على منح التطبيق الخبيث صلاحيات قوية مثل Accessibility والوصول إلى الإشعارات.

لذلك يبقى أفضل دفاع عملي هو الجمع بين تنزيل التطبيقات من مصادر رسمية، والإبقاء على Play Protect مفعّلًا، وتحديث Android والتطبيقات، ومراجعة صلاحيات Accessibility والإشعارات، وعدم إدخال عبارات استرداد المحافظ في تطبيقات غير موثوقة.

وإذا طلب منك شخص أثناء مكالمة تثبيت تطبيق أو تعطيل الحماية أو منح Accessibility، فلا تتبع التعليمات قبل التحقق بشكل مستقل من الجهة.

📊 Manic مقارنة ببرمجية بنكية تقليدية

❓ الأسئلة الشائعة

هل Manic فيروس بنكي أم برنامج تجسس؟

هو يجمع بين الاثنين. ThreatFabric تصفه كمنصة احتيال لأندرويد تجمع قدرات سرقة مالية مع مراقبة الجهاز والملفات والإشعارات والتحكم عن بعد.

هل تستهدف Manic 169 بنكًا؟

لا. الرقم 169 يشير إلى معرّفات حزم لتطبيقات مستهدفة تشمل بنوكًا ودفعًا ومحافظ رقمية ومصادقة ومراسلة وبريدًا ومتصفحات وخدمات هوية، وليس 169 بنكًا أو 169 ضحية مؤكدة.

هل تستطيع Manic سرقة عبارة استرداد محفظة رقمية؟

تحليل ThreatFabric يذكر أن البرمجية تصنف بعض النصوص الملتقطة كمرشحة لعبارات استرداد. لذلك يجب اعتبار أي Seed Phrase ظهرت على جهاز مشتبه به بيانات شديدة الحساسية.

هل تستطيع Manic نقل البيانات من هاتف غير متصل بالإنترنت؟

يمكنها تخزين البيانات محليًا ومحاولة تمريرها إلى جهاز مصاب قريب عبر Wi-Fi Direct أو Bluetooth ليقوم الجهاز الآخر بإيصالها إلى خادم التحكم. وجود هذه الميزة لا يعني أنها ستنجح دائمًا، إذ تحتاج إلى جهاز مصاب مناسب في النطاق.

هل Manic تستهدف بنوك المغرب أو السعودية؟

لا يوجد في تقرير ThreatFabric العلني الحالي ما يثبت استهداف بنوك مغربية أو سعودية بالاسم. الاستهداف المرصود يتركز في أوكرانيا ويمتد إلى روسيا وأوروبا وخدمات عالمية.

ماذا أفعل إذا شككت في إصابة هاتفي؟

أوقف المعاملات الحساسة من الهاتف، وافحص Accessibility وNotification Access والتطبيقات المثبتة، واستخدم جهازًا موثوقًا لتغيير بيانات الحسابات الحساسة. عند وجود معاملات مالية غير مصرح بها، تواصل فورًا مع البنك أو مزود الخدمة عبر قناة رسمية.

🏁 الخلاصة

Manic ليست مجرد حصان طروادة بنكي، بل منصة تجمع سرقة بيانات الاعتماد والتجسس والتحكم عن بعد مع تقنية غير معتادة لترحيل البيانات عبر أجهزة مصابة قريبة.

الاستهداف المرصود يتركز حاليًا على أوكرانيا وأهداف أوروبية وعالمية.

أفضل حماية للمستخدم هي منع الوصول إلى الصلاحيات الحساسة من الأصل، وتنزيل التطبيقات من مصادر موثوقة، ومراجعة أي نشاط مالي أو أمني غير مألوف بسرعة.

وأنت؟ هل سبق أن راجعت التطبيقات التي تملك صلاحية Accessibility أو الوصول إلى الإشعارات على هاتفك؟