Un nouveau malware Android s’attaque aux applications bancaires et ne s’arrête pas quand le téléphone passe hors ligne. Baptisé Manic, il combine les fonctions d’un cheval de Troie bancaire et celles d’un logiciel espion, et peut faire sortir les données volées même sans connexion internet, en les faisant transiter par d’autres smartphones infectés situés à proximité. C’est la société de sécurité mobile ThreatFabric qui a identifié la menace, active depuis au moins février 2026.
Un hybride qui surveille 169 applications
Manic surveille 169 applications : banques et services de paiement, portefeuilles et plateformes de cryptomonnaies, messageries, services d’identité électronique et gestionnaires d’authentification à deux facteurs. La cible principale est l’Ukraine, avec ses banques, ses services publics et ses messageries militaires, mais la liste s’étend à la Russie et à plusieurs pays d’Europe, dont des applications bancaires françaises. Une fois les autorisations obtenues, le malware lit les SMS et les notifications, collecte fichiers et position, et peut offrir aux pirates une prise en main à distance de l’écran.
Pour capter les codes, Manic n’affiche pas de fausse page bancaire. Il pose une surcouche transparente sur le clavier numérique de l’application légitime, enregistre chaque frappe puis la rejoue au même endroit par l’intermédiaire du service d’accessibilité d’Android. L’application continue de fonctionner normalement, pendant que la victime tape sur son vrai clavier. Les données récoltées sont classées par type : code de verrouillage, phrases de récupération, codes à quatre ou six chiffres reçus par SMS, mots de passe.
Un relais de téléphone en téléphone, même hors ligne
La nouveauté la plus frappante concerne la sortie des données. Quand l’appareil infecté ne parvient pas à joindre son serveur de commande, Manic chiffre les informations et les met en file d’attente, puis cherche un autre téléphone contaminé à portée. La liaison passe par le Wi-Fi Direct ou le Bluetooth, et l’appareil relais, lui connecté à Internet, transmet le paquet vers le serveur. Le malware peut aussi enchaîner les sauts, jusqu’à quatre relais. Couper la connexion du téléphone infecté ne suffit donc plus à stopper la fuite, dès lors qu’un autre appareil compromis se trouve à proximité.
Comment se protéger de Manic ?
Le vecteur d’infection exact reste inconnu, mais les chercheurs ont observé dès mai, puis en juillet, un installeur déguisé chargé de livrer la charge finale, et une évolution rapide de l’outil. Interrogé par BleepingComputer, Google assure qu’aucune application contenant ce malware ne se trouve sur le Play Store et que Play Protect bloque les versions connues. Les bons réflexes demeurent : installer ses applications depuis des sources officielles, refuser l’accessibilité aux applications qui n’en ont pas un besoin évident et laisser Play Protect effectuer ses vérifications régulières.
Voir les commentaires (0)