Cet été, les chercheurs de ThreatFabric ont débusqué une nouvelle famille de malwares lancés à l’assaut des smartphones Android : Manic. Actif depuis février 2026, ce virus cible une dizaine de pays situés en Europe, dont la France, l’Allemagne et l’Ukraine. Des banques françaises sont notamment visées. Le logiciel malveillant est par ailleurs particulièrement virulent sur le territoire ukrainien.
« Manic se situe à mi-chemin entre le cheval de Troie bancaire Android et le logiciel espion mobile. Il combine des fonctions classiques de fraude financière avec des capacités de surveillance et de prise de contrôle des appareils bien plus poussées que la moyenne », explique le rapport de ThreatFabric.
Une cyberattaque orchestrée par Manic commence par l’installation d’une application infectée. Pour le moment, les investigations n’ont pas encore permis d’identifier avec certitude le vecteur exact utilisé par les attaquants. Il s’agit vraisemblablement d’une application Android vérolée, partagée par le biais de fichiers APK sur des sites de piratage, par messagerie ou par email. Par contre, Manic n’est pas encore parvenu à se glisser sur le Play Store.
À lire aussi : Alerte rouge sur Android – un virus utilise un outil Google pour vider votre compte bancaire
Les services d’accessibilité encore détournés
Selon les chercheurs, les pirates utilisent des applications qui usurpent l’identité de marques connues, dans l’espoir de passer sous le radar. Une fois installée, l’application demande à l’utilisateur d’activer les services d’accessibilité d’Android. Ces paramètres sont initialement conçus pour assister les personnes malvoyantes dans l’utilisation de leur appareil. Cependant, de nombreuses applications en profitent pour dérober les données des utilisateurs.
Si la victime accorde ces autorisations, elle offre à Manic la capacité de surveiller tout ce qui s’affiche à l’écran, d’interagir avec les boutons de l’interface tactile, de faire défiler les pages et d’agir à sa place. Bref, c’est comme si un pirate pouvait utiliser votre smartphone sans que vous vous en rendiez compte. Le malware réclame également l’accès aux SMS et aux notifications. Cet accès lui permettra d’intercepter les codes de vérification envoyés par les banques ou d’autres services. De plus en plus furtif, Manic est même capable de disparaître de la liste des applications. Il ne peut être relancé que par le programme qui l’a installé au départ.
À lire aussi : Arnaque sur Android – 250 fausses applications vous abonnent à votre insu
Près de 170 applications dans le viseur
En toute discrétion, Manic se met à surveiller toutes les activités de 169 applications, dont des banques, des portefeuilles de cryptomonnaies, des plateformes d’échange de cryptos, des applications d’identité numérique, des applications d’authentification à deux facteurs, des messageries et des navigateurs. Chaque fois que l’utilisateur saisit du texte dans l’une de ces applications, Manic l’enregistre. Les données sont répertoriées et classées, en fonction de leur type. Les pirates s’attardent surtout sur les mots de passe, les identifiants, les codes reçus par SMS, les phrases de récupération de portefeuille crypto, ou les codes de déverrouillage de l’écran.
La tactique du virus se distingue ensuite des chevaux de Troie bancaires classiques. En général, un malware bancaire va simplement afficher un faux écran de connexion par-dessus l’application d’une banque. Persuadée d’interagir avec sa banque, la cible entre alors ses identifiants et ses mots de passe. Manic est différent. Le virus superpose un faux clavier au clavier numérique de la véritable application bancaire.
Quand la victime tape son code sur ce faux clavier invisible, Manic note discrètement chaque chiffre saisi. Ceux-ci sont directement utilisés pour se connecter à l’application de la banque, grâce aux services d’accessibilité. L’application fonctionne normalement, comme si de rien n’était, et la victime ne remarque absolument rien d’anormal. Pour que la victime ne se rende compte de rien, Manic peut afficher un écran noir ou une fausse notification de mise à jour… pendant qu’il siphonne toutes les données.
« À la différence d’une attaque de phishing classique, Manic n’affiche aucune fausse interface bancaire : il capture directement, en temps réel, les données tapées sur le clavier de l’application authentique », précise Threat Fabric.
Extraction de données et relais
Là encore, le virus va se distinguer des autres logiciels malveillants. Normalement, les données volées partent directement vers le serveur des attaquants. Si le téléphone n’a plus Internet, Manic ne renonce pas à l’extraction d’informations. Il enregistre les données sur l’appareil, puis cherche d’autres téléphones infectés à proximité, que ce soit en Wi-Fi ou en Bluetooth.
Dès qu’il trouve un appareil compromis connecté à Internet, il lui transfère les données volées. L’appareil sert alors de relais pour finir par communiquer les données volées sur les serveurs des truands. Si aucun appareil n’est disponible, les données patientent simplement sur le téléphone. Manic réessaiera plus tard de transférer les données. En clair, la désactivation d’Internet sur un smartphone infecté ne suffit pas à empêcher un vol des données. Une fois les informations entre leurs mains, les cybercriminels vont simplement se connecter au compte en banque, et réaliser des virements frauduleux.
Interrogé par Bleeping Computer, Google rappelle que le virus n’est pas entré sur le Play Store. D’après les « analyses actuelles » de Google, « aucune application contenant ce logiciel malveillant n’a été trouvée sur Google Play ». Le géant de Mountain View ajoute que « les utilisateurs Android sont automatiquement protégés contre les versions connues de ce logiciel malveillant par Google Play Protect, activé par défaut sur les appareils Android disposant des services Google Play ».
Pour se protéger, les experts de ThreatFabric recommandent de n’installer des applications que depuis le Google Play Store, et de ne jamais accorder l’accès aux services d’accessibilité, sans que l’application ait une bonne raison de le demander.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
