Pas d’Internet ? Le cheval de Troie Manic peut toujours voler vos données

Des chercheurs en cybersécurité ont découvert une nouvelle catégorie de programmes malveillants visant Android, baptisée Manic. Elle permet aux cybercriminels d’espionner leurs victimes, de voler leurs identifiants bancaires et de prendre le contrôle à distance des appareils infectés.

Mais voici sa particularité la plus surprenante : Manic peut renvoyer les données volées aux pirates informatiques même lorsque l’appareil concerné n’a pas de connexion Internet. Apparemment, les coupures aléatoires d’Internet mobile semblent gêner les cybercriminels autant que n’importe qui d’autre. Les auteurs de Manic ont donc mis au point une solution de contournement inhabituelle.

Des personnes dans de nombreux pays européens sont exposées à ce risque, de la Russie au Royaume-Uni. Dans cet article, nous vous expliquons ce dont ce cheval de Troie est réellement capable, comment il transfère clandestinement les données volées aux pirates informatiques, et [placeholder Kaspersky for Android]comment vous pouvez protéger votre appareil Android contre Manic et d’autres menaces similaires[/placeholder].

Comment Manic se propage et qui est à risque ?

Les chercheurs n’ont pas encore clairement déterminé comment les pirates informatiques parviennent à installer Manic sur les appareils des utilisateurs. Ces programmes malveillants se propagent via différents canaux :

• Applications infectées sur des boutiques d’applications légitimes
• Fichiers APK malveillants partagés sur des sites de piratage
• Liens de téléchargement envoyés via des applications de messagerie et par email
• Sites d’arnaques

Google a déclaré aux journalistes n’avoir trouvé aucune trace de la propagation de Manic via des applications disponibles sur le Google Play Store. Cela laisse penser que les utilisateurs installent très probablement des applications infectées provenant de sources non officielles.

Les experts ont remonté les origines de l’infrastructure mise en place par les pirates informatiques pour cette campagne jusqu’en février 2026. Les premiers échantillons du programme malveillant lui-même ont été détectés fin mai de cette année. Depuis lors, les cybercriminels à l’origine de ce cheval de Troie ont perfectionné les techniques qu’il utilise pour échapper à la détection sur l’appareil de la victime.

Manic combine actuellement les capacités d’un cheval de Troie bancaire, d’un logiciel espion et d’un outil d’accès à distance permettant à un pirate informatique de prendre le contrôle de l’appareil. Les pirates informatiques s’intéressent aux données provenant de différentes sources :

• Applications bancaires et services de paiement
• Applications gouvernementales officielles
• Portefeuilles de cryptomonnaies et plateformes d’échange
• Applications d’authentification à deux facteurs
• SMS et notifications : principalement les codes à usage unique utilisés pour valider les connexions ou approuver des transactions

En analysant les applications bancaires ciblées par Manic, les chercheurs ont pu déterminer quels pays sont dans sa ligne de mire. Il s’avère que sa portée est vaste, couvrant l’Autriche, la République tchèque, l’Estonie, la France, l’Allemagne, la Lituanie, les Pays-Bas, la Pologne, la Russie, la Slovaquie, l’Espagne, l’Ukraine et le Royaume-Uni.

Mots de passe volés, codes interceptés, contrôle à distance : ce dont Manic est réellement capable

Voyons exactement quelles informations Manic vole, et comment il parvient à s’en emparer. La principale astuce de ce programme malveillant consiste à exploiter les services d’accessibilité d’Android, un ensemble de fonctionnalités intégrées conçues pour aider les utilisateurs malvoyants. Utilisées comme prévu, ces fonctionnalités sont véritablement utiles pour les personnes souffrant d’une perte de vision. Toutefois, les criminels exploitent depuis longtemps, et en toute discrétion, ces mêmes outils à leurs propres fins.

Une fois qu’un utilisateur a donné une autorisation à une application pour utiliser les services d’accessibilité, celle-ci peut « voir » le texte et les boutons à l’écran, interagir avec eux, faire défiler les pages et effectuer des actions automatiquement, comme si c’était l’utilisateur lui-même qui le faisait. Les pirates informatiques s’en servent pour lire les messages affichés à l’écran, accorder discrètement des autorisations supplémentaires au programme malveillant, entraver les tentatives de désinstallation, désactiver les protections de sécurité ou contrôler d’autres applications sans que la victime ne s’en aperçoive.

Avec Manic, cette utilisation abusive des services d’accessibilité s’accompagne des fonctionnalités avancées propres au cheval de Troie. Il est capable de générer un clavier invisible qui se superpose au clavier réel du téléphone. Lorsqu’un utilisateur saisit son mot de passe pour se connecter à une application bancaire, Manic enregistre précisément les touches sur lesquelles il a appuyé. Le virus utilise ensuite les services d’accessibilité pour reproduire instantanément cette même frappe sur le clavier de l’application.

Manic génère une couche de capture transparente qui recouvre le clavier du téléphone, enregistre chaque pression et la transmet au clavier réel. Source

Cela signifie que les pirates informatiques n’ont pas besoin de créer une fausse page d’identifiant pour chacune des applications qu’ils souhaitent cibler. Comme Manic fonctionne comme une couche invisible superposée à l’application authentique, tout semble et se comporte comme d’habitude. Le propriétaire du téléphone n’a donc aucune raison de soupçonner qu’il est en train de communiquer son code PIN ou son mot de passe à un malfaiteur.

Manic ne se contente pas non plus d’enregistrer tout ce que l’utilisateur tape au clavier. Il reconnaît automatiquement le type d’informations qu’il vient de capturer et les classe par catégories : mots de passe, identifiants de messagerie, codes SMS de quatre à six chiffres, chaînes de caractères ressemblant à des phrases secrètes de récupération de portefeuilles de cryptomonnaies, ainsi que codes de déverrouillage de téléphone ou schémas de déverrouillage. Outre le texte capturé lui-même, Manic enregistre également l’application d’où il provient, le moment où il a été saisi, si l’utilisateur l’a tapé manuellement ou s’il a utilisé la saisie automatique, et si cette application figure sur sa liste de cibles.

Les capacités de Manic ne se limitent pas à la collecte d’informations. En exploitant à nouveau les services d’accessibilité, cela permet également aux pirates informatiques de prendre le contrôle à distance d’un appareil infecté. Pour dissimuler cette activité, Manic peut afficher un écran noir ou simuler une mise à jour du système.

Outre les services d’accessibilité, ce programme malveillant demande également l’autorisation de lire les SMS et les notifications. Cela permet aux pirates informatiques d’intercepter les codes d’authentification à deux facteurs et les codes de vérification à usage unique avant même que la victime n’ait eu le temps de les saisir dans l’application.

Au final, cela permet aux pirates informatiques non seulement d’accéder aux mots de passe, aux identifiants bancaires et aux codes de vérification, mais aussi de contrôler à distance le téléphone de la victime.

Même le fait d’être hors ligne ne vous sauvera pas du vol de données

La méthode initiale utilisée par Manic pour transmettre les données volées depuis l’appareil vers les pirates informatiques mérite une mention spéciale. Même aujourd’hui, les appareils se retrouvent hors ligne plus souvent qu’on ne le pense, et les créateurs de Manic ont mis au point une solution spéciale pour ce genre de situations.

En règle générale, ce type de programme malveillant collecte des informations sur l’appareil et les transmet directement à un serveur contrôlé par les pirates informatiques. Mais que se passe-t-il lorsque l’appareil infecté n’a pas d’accès direct à Internet ou ne peut pas se connecter au serveur de commande et de contrôle pour une autre raison ?

Dans ce cas, Manic se contente de stocker les données volées sur l’appareil et commence à analyser à proximité d’autres téléphones infectés auxquels il peut accéder via Wi-Fi ou Bluetooth. S’il en trouve un disposant d’un accès à Internet, il transmet les données chiffrées à ce téléphone, qui les transfère ensuite vers le serveur des cybercriminels.

Mais ce n’est pas tout. Les données peuvent se propager d’un appareil infecté à l’autre. Par défaut, Manic autorise jusqu’à quatre de ces appareils relais dans la chaîne. Si aucun appareil compatible n’est à proximité, les données restent simplement sur le téléphone d’origine, et Manic réessaie plus tard.

Comment protéger votre téléphone contre Manic et d’autres chevaux de Troie bancaires

Les programmes malveillants pour Android ne cessent de s’améliorer. C’est pourquoi il est important de garder à l’esprit, et de mettre en pratique, quelques règles élémentaires d’hygiène numérique destinées aux utilisateurs de téléphones et de tablettes Android :

• Évitez d’installer des applications provenant de sources non officielles.
• N’accordez pas aux applications l’autorisation d’utiliser les services d’accessibilité, sauf si c’est absolument nécessaire et si vous comprenez parfaitement pourquoi elles en ont besoin.
• Installez un logiciel de sécurité fiable sur chacun de vos appareils, effectuez régulièrement des analyses et prenez au sérieux ses avertissements et ses recommandations. Nous vous recommandons Kaspersky pour Android. Nos applications de sécurité pour Android sont temporairement indisponibles sur le Google Play Store. Pour les installer sur un appareil Android, nous vous conseillons donc d’utiliser une boutique d’applications alternative ou d’installer manuellement le fichier APK à partir de notre site Internet. Vous trouverez un guide complet, étape par étape, dans notre article intitulé Comment installer ou mettre à jour les applications Kaspersky sur Android en 2026.

Les programmes malveillants ne ciblent pas uniquement les smartphones. Ils s’attaquent également à d’autres appareils fonctionnant sous Android, allant des boîtiers de streaming jusqu’aux… voitures. Pour en savoir plus, consultez nos articles associés :

• Un botnet sur la route : le premier cheval de Troie destiné aux autoradios
• Faille de sécurité chez Qualcomm : les réparations de téléphones et l’entretien des voitures ne sont plus sûrs
• Votre décodeur TV met-il votre réseau à la disposition d’autres utilisateurs ?
• Un cheval de Troie Android se fait passer pour des services gouvernementaux et des applications Starlink
• Android sous la pression de nouvelles menaces