Une nouvelle menace pour Android, baptisée Manic, fait l’objet d’observations actives. D’après des analyses techniques partagées avec la presse spécialisée, le malware Android Manic viserait notamment des banques ukrainiennes, des services gouvernementaux et d’identité, ainsi que des applications de messagerie. L’activité toucherait aussi des institutions financières en Russie et en Europe, y compris des services fintech, crypto et des communications orientées défense.
Ce qui rend l’affaire particulièrement préoccupante, c’est la manière dont Manic peut continuer à faire remonter des informations même lorsque le téléphone infecté n’a pas accès à Internet. Le logiciel met en effet en œuvre une technique de relai de proximité via d’autres appareils compromis capables, eux, de joindre les serveurs de commande.
Un malware à la jonction banque et spyware
Les chercheurs décrivent Manic comme un programme se situant à l’intersection entre les malwares bancaires et la spyware mobile. Autrement dit, il ne se limite pas à perturber des applications financières : il intègre aussi des mécanismes de prise de contrôle, de surveillance et de collecte de données.
Le rapport souligne que la fonctionnalité de fraude financière constitue un objectif majeur. La cible inclut des banques, des services de paiement, des acteurs BNPL (paiement fractionné), des plateformes et portefeuilles crypto, mais également des applications liées à l’identité et à l’authentification.
Une campagne développée puis remaniée entre février et juillet 2026
Selon les informations disponibles, la chronologie de l’activité remonte à février 2026. À cette période, un premier domaine aurait été enregistré sous une identité fictive. Le développement se serait accéléré rapidement, avec un premier leurre basé sur une application de réservation et une première présence de l’implant vers la fin mai.
Ensuite, un fait notable apparaît : le travail aurait été interrompu entre la fin de juin et le milieu de juillet, avant que des signaux d’un second déploiement ne soient observés autour du 13 juillet. Cette nouvelle itération intégrerait des contrôles anti-analyse plus solides et une capacité supplémentaire de phishing ciblant l’écran de verrouillage.
Les chercheurs indiquent aussi que les composants nécessaires côté infrastructure (panneau et API) auraient été mis en ligne entre le 24 et le 28 juillet.
Des fichiers APK associés à l’implant et au “wrapper”
Les analyses ont relié plusieurs APK à la chaîne d’infection. Parmi les identifiants mentionnés, on retrouve des noms utilisés pour le wrapper et l’implant :
- tech.intel.dialer.updater (wrapper)
- org.honor.secure.helper (wrapper)
- org.lenovo.storage.processor (implant)
- dev.huawei.media.helper (implant)
Le point important, pour l’utilisateur, est que ces composants sont distribués via des sites d’hameçonnage et des applications “dropper” qui se présentent comme des utilitaires légitimes.
169 applications surveillées : finance, identité, messagerie et authentificateurs
Le malware Android Manic s’appuie sur une liste d’environ 169 identifiants de paquets (package IDs). Cette liste couvre un large éventail de catégories :
- banques
- services de paiement entre particuliers (P2P)
- offres BNPL
- portefeuilles et échanges de crypto
- applications de messagerie
- services gouvernementaux et eID (identité électronique)
- navigateurs et applications d’authentification
- clients de messagerie électronique
La majorité des applications ciblées sont utilisées en Ukraine, mais la sélection inclurait aussi des applications présentes dans d’autres régions, notamment la Russie, l’Europe centrale et occidentale, ainsi que le Royaume-Uni.
Surveillance des communications et suivi de localisation
En plus de la fraude financière, Manic est conçu pour étendre la surveillance aux communications et à la position de la victime. Le logiciel peut, par exemple :
- suivre la localisation et enregistrer des coordonnées avec un horodatage
- surveiller des notifications
- collecter des fichiers
- agir en contrôle à distance via une session WebRTC
- prendre des captures d’écran
Cette combinaison permettrait à l’opérateur de conserver une vision en temps rapproché de l’activité financière, des échanges et de la présence géographique des victimes.
Un abus des services d’accessibilité et des permissions de notifications
Comme d’autres familles de malwares Android, Manic tire profit des services d’accessibilité et des autorisations liées aux notifications. Concrètement, ces droits peuvent servir à :
- capturer des éléments affichés sur l’écran de verrouillage
- afficher des superpositions (overlays) pour récolter des informations sensibles ou masquer des actions malveillantes
Les chercheurs mentionnent aussi des éléments “UI keylogger”, c’est-à-dire une capacité à classer et enregistrer du texte en s’appuyant sur l’interface, et à associer cette donnée à l’application concernée.
Vol de données : codes, mots de passe, captures et export
Parmi les fonctions observées, le malware Android Manic peut intercepter les interactions avec le clavier et récupérer des informations telles que :
- mots de passe
- codes à usage unique
- phrases de récupération
Le malware peut également exporter des données personnelles comme les contacts, l’historique des appels, les SMS et certaines notifications. Il peut encore envoyer des SMS vers un numéro fourni par l’opérateur, afficher de fausses notifications, supprimer un fichier local sélectionné, ou tenter de désactiver Google Play Protect via automatisation de l’interface.
Phishing par superposition pour capturer le PIN
Une technique décrite comme particulièrement efficace consiste à capturer des codes PIN en plaçant une superposition transparente au-dessus du clavier numérique dans une application ciblée. Quand l’utilisateur appuie sur un chiffre, Manic enregistre la position du tap et identifie l’élément d’interface à proximité.
Ensuite, le malware coupe brièvement l’interception de touchers pour laisser l’application fonctionner “comme si de rien n’était”, tout en rejouant l’action au bon endroit via l’API d’accessibilité. Résultat : le code circule entre les doigts de l’utilisateur et l’attaquant, sans forcément afficher une interface bancaire factice.
La persistance via workers et alarmes
Pour rester actif, Manic s’appuie sur des mécanismes Android de persistance, notamment des workers en arrière-plan, des alarmes, et encore les services d’accessibilité et de notifications. Ces composants maintiennent la communication avec l’infrastructure de commande et contrôle (C2), traitent les commandes, envoient les données mises en file d’attente et synchronisent le “maillage” hors ligne.
Les exécutions périodiques seraient planifiées toutes les 10 à 15 minutes, avec un rythme qui dépend de la version du build.
Le cœur de l’affaire : exfiltration depuis des téléphones hors ligne
Le scénario le plus singulier concerne l’exfiltration des données. Le rapport décrit un mécanisme “store-and-forward” qui permet au malware d’utiliser un autre appareil infecté à proximité comme relais vers l’infrastructure C2, lorsque le téléphone source ne peut pas se connecter.
Le raisonnement est simple : si l’appareil compromis proche d’une zone peut atteindre l’Internet, alors il devient une passerelle. Ainsi, retirer simplement la connexion réseau du téléphone infecté ne suffit pas forcément à stopper l’exfiltration.
Comment fonctionne le relais de proximité
Le mécanisme suit plusieurs étapes :
- les fichiers collectés et les résultats de commandes sont mis en file locale chiffrée
- le malware cherche un pair infecté via Wi‑Fi Direct, Bluetooth RFCOMM ou BLE GATT
- si un appareil est trouvé, le paquet chiffré est transmis puis renvoyé vers le serveur C2
Le système supporte aussi des routages multi-sauts. Par défaut, les éléments mis en file peuvent être relayés jusqu’à quatre “hops” maximum. Chaque élément conserve une information de compteur de relais, ce qui permet à la chaîne de se gérer proprement.
Si aucun pair n’est détecté, les données restent en attente et le processus est relancé plus tard. Les chercheurs indiquent aussi qu’en cas d’absence de voisins, un appareil en ligne peut créer un groupe Wi‑Fi Direct, en utilisant un nom réseau identique à travers les builds, avec plusieurs tentatives de création du groupe.
Ce que l’évolution entre mai et juillet suggère
Les observations sur la période mai à juillet 2026 mettent en avant une progression : renforcement des mesures anti-analyse et intégration de techniques de phishing ciblant des secrets depuis l’écran. Autrement dit, les capacités de Manic ne semblent pas figées : le code évoluerait, avec une expansion des fonctionnalités.
Conclusion : vigilance accrue, même sans Internet
Le malware Android Manic illustre une menace moderne : il combine fraude financière, collecte de données et surveillance poussée, tout en s’appuyant sur des abus d’accessibilité et de notifications. Surtout, sa capacité de relai de proximité rend l’exfiltration plus difficile à contrer simplement en coupant la connexion au réseau.
Pour les organisations et les particuliers, cela renforce l’importance de la prévention (prudence face aux faux utilitaires et aux pages d’hameçonnage), d’une surveillance des autorisations, et d’une réponse rapide en cas de suspicion d’infection mobile.
Source: https://thehackernews.com/2026/08/manic-android-malware-exfiltrates-data.html
