Ce malware Android fait circuler vos données bancaires de téléphone en téléphone, même sans Internet

ThreatFabric a identifié Manic, un logiciel malveillant Android, lequel combine le vol de données bancaires à l'espionnage du terminal. Repéré principalement en Ukraine, il vise aussi des services financiers russes et européens, ainsi que des messageries sensibles. Et il a plus d'un tour dans son sac puisqu'il est capable de relayer les données volées via un autre téléphone infecté à proximité si l'appareil visé perd sa connexion Internet.

ThreatFabric a retrouvé des traces de Manic à partir de février 2026, date d'enregistrement des premières infrastructures liées à l'opération. Le logiciel a ensuite été retravaillé à plusieurs reprises, avec une version plus aboutie diffusée à partir du mois dernier. Comment Manic vole le code PIN Manic se propage via des sites de phishing et des applications piégées imitant des utilitaires système. Il emprunte des noms tel que Intel, Honor, Lenovo, Apple, Motorola ou Huawei. Une fois installé, il surveille 169 applications. On retrouve des banques, des services de paiement, des portefeuilles et plateformes d'échange de cryptomonnaies, des messageries instantanées, des identités numériques gouvernementales, des authentificateurs, des navigateurs ou encore des clients mail. S'il cible particulièrement l'Ukraine, Manic est aussi actif en Russie, en Pologne, en Allemagne, en France, au Royaume-Uni et dans plusieurs pays européens.

Manic exploite les services d'accessibilité d'Android, prévus pour faciliter la navigation des utilisateurs en situation de handicap. Plutôt que d'afficher une fausse page de connexion comme la plupart des chevaux de Troie bancaires, il pose une couche transparente uniquement sur le clavier numérique de l'application visée. Il enregistre la position du doigt, coupe brièvement l'interception tactile, puis reproduit l'appui exact sur le vrai clavier grâce à cette même API. La transaction s'exécute normalement pendant que le code PIN est capturé en arrière-plan. Une fonction distincte, active sur l'écran de verrouillage, tente de mémoriser puis de réutiliser le code ou le schéma de déverrouillage du téléphone.

Une fois ces accès obtenus, Manic classe le texte saisi par catégorie (identifiants, codes à usage unique, phrases de récupération). Il ouvre aussi des sessions vidéo en direct via WebRTC pour permettre à un opérateur de regarder et de commander l'appareil à distance. Le programme récupère la localisation, les contacts, l'historique d'appels, les SMS et les notifications. Il prend aussi des captures d'écran et peut désactiver Google Play Protect par automatisation de l'interface. Manic reste actif grâce à des tâches de fond et des alarmes système. Elles relancent les services d'accessibilité toutes les 10 à 15 minutes.

Une exfiltration des données bien spécifique Manic embarque un mode d'exfiltration bien particulier. Les données collectées sont chiffrées (AES-GCM) puis placées dans une file d'attente locale plutôt qu'envoyées directement au serveur de commande. Le téléphone infecté cherche ensuite un autre appareil compromis à proximité, via Wi-Fi Direct, Bluetooth RFCOMM ou BLE GATT.