Le cheval de Troie Android « Manic » vole les codes PIN sans afficher de fausse interface bancaire

La société de sécurité néerlandaise ThreatFabric a publié le 20 août un rapport sur une menace Android jusqu’alors inconnue. Elle a baptisé ce logiciel malveillant « Manic » ; celui-ci combine deux éléments qui, d’ordinaire, ne vont pas de pair : un cheval de Troie bancaire conçu pour détourner de l’argent et un logiciel espion destiné à surveiller son propriétaire. Cette campagne vise principalement l’Ukraine. La liste des cibles comprend également des banques en Allemagne, en Pologne, en République tchèque, en Slovaquie, en Autriche, en France, en Espagne, aux Pays-Bas, en Estonie, en Lituanie et au Royaume-Uni, ainsi que les applications d’identification électronique nationales de plusieurs de ces pays.

Au total, Manic surveille 169 identifiants de paquets, c’est-à-dire les identifiants techniques de chaque application. La liste comprend des banques, des services de paiement, des solutions « achetez maintenant, payez plus tard », des services de transfert d’argent, des plateformes d’échange de cryptomonnaies et des portefeuilles, des messageries instantanées, des navigateurs, des clients de messagerie électronique, des applications d’identification électronique gouvernementales et des applications d’authentification, qui génèrent le deuxième facteur lors de la connexion. ThreatFabric a retracé l’origine de la première infrastructure jusqu’en février 2026. Une version remaniée est apparue en juillet, dotée de contrôles anti-analyse plus rigoureux.

Le code PIN est transmis sans encombre, et aucun faux écran bancaire n’apparaît

Un cheval de Troie bancaire classique superpose une interface bancaire copiée par-dessus l’application réelle. En y regardant de près, vous pouvez le repérer. Manic fonctionne différemment. Lorsqu’il détecte un pavé numérique au sein d’une application cible, il superpose une surface transparente exactement au-dessus de ces touches. Lorsque l’utilisateur appuie sur une touche, Manic enregistre la position, désactive brièvement sa propre interception des touches tactiles, puis reproduit la pression au même endroit via les services d’accessibilité d’Android. L’application bancaire reçoit la saisie comme d’habitude et poursuit son fonctionnement. Rien à l’écran ne semble anormal. Le code PIN finit tout de même entre les mains du pirate. Ce schéma se retrouve également dans d’autres escroqueries, où l’attaque cible précisément le signal sur lequel les utilisateurs comptent pour détecter qu’il y a quelque chose qui cloche.

Une deuxième fonction, que ThreatFabric appelle « autoEnterPin », intervient au niveau de l’écran de verrouillage et tente de saisir automatiquement un code PIN ou un schéma de déverrouillage précédemment capturé. Les services d’accessibilité font office de keylogger. Manic trie à l’avance les saisies capturées selon qu’il s’agit d’une saisie sur l’écran de verrouillage, d’une phrase de récupération pour un portefeuille cryptographique, d’un code SMS de quatre à six chiffres ou d’un mot de passe.

Un deuxième téléphone infecté comme moyen de sortie

Le plus inhabituel réside dans la manière dont les données sont transmises. Si un appareil infecté ne parvient pas à se connecter au serveur des pirates, Manic chiffre les données qu’il a collectées et les place dans une file d’attente. Il recherche ensuite un autre téléphone infecté à portée radio via Wi-Fi Direct, Bluetooth ou Bluetooth Low Energy et vérifie si celui-ci est en ligne. S’il en trouve un, le paquet y est transféré, puis acheminé vers le serveur. Jusqu’à quatre relais sont configurés par défaut.

Dans la pratique, cela signifie que le fait de déconnecter un téléphone du réseau n’arrête pas nécessairement la fuite, tant qu’un deuxième appareil infecté se trouve à proximité. Il s’agit de la même erreur de raisonnement que dans le cas de l’authentification à deux facteurs, où un cookie de session volé rend le deuxième facteur inutile.

Comment le repérer

Manic se compose de deux parties : un wrapper qui permet de l’installer sur l’appareil et l’implant lui-même. Les noms des paquets sont choisis pour ressembler à ceux de composants système provenant de fournisseurs bien connus. ThreatFabric répertorie les noms suivants : tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler et io.motorola.secure.executor. La version de juillet supprime son icône du tiroir d’applications ; elle n’apparaît donc plus du tout dans le menu.

Tout repose sur deux autorisations : les services d’accessibilité et l’accès aux notifications. Pour vérifier si quelque chose ne va pas, ouvrez la section « Accessibilité » dans les paramètres Android et consultez la liste des services qui y figurent. Tout élément n’appartenant pas clairement à une application d’aide que vous avez installée intentionnellement doit être désactivé. Il en va de même pour l’accès aux notifications. Manic tente également de désactiver Google Play Protect par le biais de clics automatisés ; il est donc également recommandé de vérifier le Play Store.

ThreatFabric ne précise pas le nombre d’appareils concernés, et aucun chiffre relatif aux infections n’est disponible pour un pays en particulier. La protection la plus simple reste la bonne vieille méthode : n’installez pas de fichiers APK provenant de liens ou de portails tiers, même si la page semble provenir d’un fournisseur connu.