Les Trojans bancaires continuent d’évoluer et de viser des utilisateurs dans de nombreuses régions du monde. Ces malwares sont conçus pour faciliter le phishing, dérober des informations sensibles et, dans certains cas, prendre le contrôle à distance des appareils infectés. Cette semaine, plusieurs acteurs de la sécurité ont partagé des détails sur des variantes actives ou mises à jour : Manic, Grandoreiro et ToxicPanda 2.0.
Au-delà des noms, un fil conducteur revient : l’attaque cherche à se rapprocher le plus possible de l’expérience réelle de l’utilisateur (écrans de connexion, interactions sur mobile, exécution discrète). Résultat, la fraude bancaire et crypto peut se mettre en place avec une efficacité inquiétante.
Manic : un malware Android mêlant trojan bancaire et espionnage
Parmi les menaces évoquées, Manic se distingue comme un malware Android combinant des fonctions de trojan bancaire et de spyware. Autrement dit, il ne se limite pas à rediriger une victime vers une page factice : il peut aussi collecter des données et surveiller l’activité de l’appareil.
Les analyses indiquent une utilisation principalement observée contre des cibles en Ukraine, incluant des banques, des services gouvernementaux et des applications de messagerie. Toutefois, Manic a aussi été repéré sur d’autres zones : des institutions financières en Russie et en Europe, ainsi que des services liés à la cryptomonnaie et à la fintech, sans oublier des applications de messagerie orientées vers le secteur militaire.
Le déploiement passerait par des sites malveillants et des droppers, permettant d’amorcer l’infection sur les appareils. Une fois en place, le malware peut :
- enregistrer les frappes clavier,
- afficher des écrans de phishing (visant à capter des identifiants),
- piloter à distance le téléphone pour soutenir des fraudes bancaires et crypto.
En parallèle, ses capacités d’espionnage sont plus larges. Elles incluent notamment le suivi des notifications, la localisation, la récupération de fichiers et une surveillance à distance de l’appareil. Cette combinaison renforce la capacité des attaquants à adapter leurs actions selon le contexte.
Relais “offline” : transférer des données même sans accès direct
Un élément particulièrement marquant concerne un mécanisme de relais “hors ligne”. Lorsque l’accès direct aux serveurs de commande et contrôle n’est pas disponible, Manic peut faire circuler les données collectées via des appareils infectés à proximité. Le transfert s’effectuerait grâce à des technologies comme Wi‑Fi Direct ou Bluetooth.
En pratique, cette approche peut compliquer le travail de neutralisation : même si le canal habituel ne fonctionne pas, le malware conserve un moyen de faire remonter l’information. Pour les équipes de défense, cela implique de raisonner en termes de chaîne d’infection et pas uniquement de blocage réseau.
Grandoreiro : un trojan Windows toujours actif et en amélioration
Selon des informations communiquées par des chercheurs, Grandoreiro demeure actif. Ce trojan bancaire sous Windows, d’origine brésilienne, circule depuis environ une décennie et continuerait d’évoluer malgré les efforts des forces de l’ordre pour perturber sa propagation.
La menace cible principalement des utilisateurs en Amérique latine, mais les campagnes observées indiquent aussi une présence en Europe et en Amérique du Nord. Un cas récent rapporté par Acronis montre que la majorité des attaques visaient le Mexique.
Pour ses opérations récentes, Grandoreiro s’appuierait sur une technique qui exploite un logiciel légitime : l’application Duplicate Files Finder (DFF). L’idée est d’abuser du mécanisme de DLL sideloading, permettant d’exécuter du code malveillant tout en restant le plus proche possible du comportement attendu par l’utilisateur et les systèmes de sécurité.
Cette stratégie peut contribuer à masquer l’activité du malware et à réduire les signaux d’alerte. Elle s’inscrit dans une logique générale : mélanger l’attaque à des opérations “normales”.
Anti-analyse : s’assurer que l’environnement convient
Les échantillons récents comportent aussi une couche importante d’anti-analyse. Les chercheurs décrivent plusieurs contrôles avant toute tentative de contact avec l’infrastructure de commande et contrôle (C2) :
- détection d’environnement de type sandbox,
- vérifications d’artefacts de machine virtuelle,
- listes de processus à bloquer,
- profilage de l’environnement.
L’objectif est clair : éviter que les mécanismes automatisés d’analyse ne capturent le comportement complet. En cherchant à écarter les contextes d’étude, les opérateurs peuvent maintenir une meilleure efficacité opérationnelle contre la détection.
ToxicPanda 2.0 : nouvelles commandes, plus d’applications ciblées
Enfin, ToxicPanda 2.0 fait l’objet d’un avertissement à propos d’une variante mise à jour. Ce trojan bancaire Android est connu pour cibler principalement l’Europe, et sa dernière version renforce sa capacité d’attaque.
Par rapport aux versions précédentes, la mise à jour introduit des changements notables :
- prise en charge de 167 commandes distantes,
- liste de cibles d’environ 350 applications financières, contre seulement 16 auparavant.
La campagne visée concernerait des institutions bancaires dans 16 pays. Les analyses citent notamment : Pakistan, Afrique du Sud, Mexique, Nigeria, Inde, Indonésie et Panama.
Exploitation via ADB et hausse des privilèges
Un autre levier important concerne un mécanisme automatisé basé sur les clics, visant à détourner Android Wireless Debugging (ADB). Le but est d’obtenir une élévation de privilèges et un accès de type shell sur l’appareil compromis.
Cette étape est souvent déterminante : une fois les privilèges augmentés, les attaquants peuvent exécuter davantage d’actions, maintenir le contrôle et ajuster la fraude en fonction des applications présentes.
Distribution : des compartiments cloud pour livrer la charge
Les informations rapportées indiquent aussi un changement de méthode de distribution. Les échantillons de ToxicPanda 2.0 seraient livrés via des conteneurs (buckets) hébergés sur Amazon AWS, ce qui suggère que les attaquants s’appuient sur l’infrastructure cloud pour acheminer le malware.
Pour la sécurité, ce point compte : l’utilisation de services tiers peut compliquer la tâche des filtrages traditionnels, car l’hébergement ne ressemble pas forcément à une infrastructure malveillante “classique”.
Ce que ces campagnes ont en commun
Malgré des différences entre Android et Windows, ces Trojans bancaires partagent plusieurs principes. D’abord, ils cherchent à atteindre l’utilisateur au moment clé : connexion, validations, interactions avec des applications financières. Ensuite, ils misent sur des techniques d’exécution discrète et de contournement de la détection : exploitation d’applications légitimes pour Grandoreiro, fonctions avancées d’espionnage et de relais pour Manic, ou enrichissement des commandes et ajustements de livraison pour ToxicPanda 2.0.
Enfin, l’anti-analyse et la redirection de données apparaissent comme des éléments récurrents. Pour les équipes de réponse à incident, cela signifie qu’il faut combiner plusieurs approches : prévention côté utilisateur, détection comportementale et contrôle des environnements à risque.
Comment réduire le risque au quotidien
Sans remplacer des mesures organisationnelles, quelques actions peuvent aider les particuliers et les équipes à limiter l’exposition. Les Trojans bancaires prospèrent quand l’utilisateur se retrouve face à une page, une application ou une instruction trompeuse.
- Maintenez vos systèmes et applications à jour : les correctifs réduisent l’espace d’exploitation.
- Évitez les téléchargements hors des canaux officiels et méfiez-vous des demandes inattendues d’autorisations.
- Sur mobile, soyez vigilant avec les fonctionnalités de debug : désactivez-les si vous n’en avez pas besoin et examinez les paramètres liés à ADB.
- Signalez rapidement tout comportement anormal (fenêtres de connexion répétées, notifications suspectes, redirections imprévues).
En cas de doute, il vaut mieux vérifier l’origine d’une alerte, contrôler les autorisations accordées et envisager un scan de sécurité. Pour les organisations, complétez cela par des règles de sensibilisation et des contrôles sur les postes et mobiles.
Conclusion : une menace qui s’adapte, donc la défense doit suivre
Les cas de Manic, Grandoreiro et ToxicPanda 2.0 montrent que les Trojans bancaires ne restent pas figés. Ils s’améliorent, élargissent leurs cibles, automatisent des actions et ajustent leurs modes de distribution. Face à ce dynamisme, la meilleure stratégie consiste à combiner une hygiène numérique rigoureuse, des protections adaptées et une détection capable de repérer des comportements inhabituels.
En gardant ces signaux à l’esprit, vous renforcez vos chances de limiter l’impact d’une infection—et surtout de prévenir la fraude avant qu’elle ne prenne forme.
Source: https://www.securityweek.com/banking-trojans-manic-grandoreiro-toxicpanda-2-0-in-the-spotlight/
