La société de sécurité mobile ThreatFabric a détecté un nouveau logiciel malveillant Android baptisé Manic, actif depuis au moins février 2026 et ciblant des utilisateurs dans plusieurs pays européens, avec un accent marqué sur les applications bancaires, gouvernementales et d’identité numérique en Ukraine. Le logiciel combine des capacités d’espionnage, de fraude bancaire et de contrôle à distance, tandis que son architecture intègre un mécanisme inhabituel d’exfiltration des données via des appareils infectés situés à proximité de l’appareil ciblé.
Manic cible au moins 169 applications, notamment des services bancaires et gouvernementaux, des applications de paiement, des portefeuilles de cryptomonnaies, des plateformes de messagerie et des applications d’authentification à deux facteurs. Les chercheurs ont également observé des attaques visant des services de technologie financière et de cryptomonnaies à l’échelle mondiale, ainsi que des applications utilisées en Europe centrale et occidentale, au Royaume-Uni et en Russie.
Comment Manic collecte-t-il les données des victimes ?
Après avoir obtenu les autorisations du service d’accessibilité et l’accès aux notifications, le logiciel peut capturer le code ou le mot de passe de verrouillage de l’appareil, lire les notifications et les messages texte, collecter les fichiers et les données de localisation, surveiller l’écran et permettre aux opérateurs de contrôler l’appareil à distance via des sessions WebRTC.
Manic utilise des couches transparentes au-dessus des claviers numériques à l’intérieur des applications légitimes afin de capturer les frappes de l’utilisateur et de les réexécuter via Android Accessibility, ce qui permet à l’application d’origine de continuer à fonctionner normalement. ThreatFabric décrit cette fonctionnalité comme un « enregistreur de frappes de l’interface utilisateur » : elle classe les textes capturés avant de les stocker afin de distinguer les saisies de l’écran de verrouillage, les phrases susceptibles de servir à récupérer des portefeuilles, les codes SMS à quatre à six chiffres, les mots de passe, les identifiants de connexion aux e-mails, les messages longs et les textes ordinaires.
Qu’est-ce qui distingue le mécanisme d’exfiltration ?
Lorsque l’appareil infecté ne peut pas accéder au serveur de commande et de contrôle, Manic chiffre les données et les transfère via des appareils infectés situés à proximité en utilisant le Wi‑Fi Direct ou le Bluetooth. Le logiciel commence par tenter d’utiliser un pair disponible via Wi‑Fi Direct, puis interroge les appareils proches utilisant le Bluetooth ou le BLE afin de déterminer s’ils disposent d’une connexion à Internet.
Le mécanisme prend en charge des itinéraires comportant plusieurs sauts, les nouveaux éléments étant configurés par défaut avec une limite maximale de quatre étapes de relais. En pratique, cela signifie qu’un appareil hors ligne peut tout de même envoyer les données volées si un autre appareil infecté se trouve à portée du Wi‑Fi ou du Bluetooth, ce qui augmente les chances que les informations parviennent aux opérateurs du logiciel.
Évolution de l’architecture d’attaque
ThreatFabric n’a pas encore déterminé précisément la méthode d’infection initiale, mais a observé fin mai l’utilisation d’un chargeur logiciel qui fournissait la charge utile principale aux victimes, suivie d’une expansion de l’infrastructure au cours des mois suivants. En juillet, une version mise à jour du chargeur est apparue, avec des contrôles plus robustes de résistance à l’analyse et le chargement en mémoire de fichiers exécutables au format DEX, ainsi qu’un nouveau panneau de contrôle et une nouvelle API.
Que doivent faire les utilisateurs d’Android ?
Il convient d’éviter de télécharger des fichiers APK depuis des sources douteuses ou des portails non officiels, et de ne jamais accorder l’autorisation d’accessibilité sauf à une application fiable qui en a réellement besoin. Il est également recommandé d’exécuter régulièrement des analyses avec Play Protect afin de détecter et de supprimer les logiciels malveillants connus.