Un nouveau logiciel malveillant Android, baptisé Manic, a été identifié par la société de sécurité mobile ThreatFabric. Actif depuis février 2026, il associe deux catégories de menaces habituellement distinctes : le cheval de Troie bancaire et le logiciel espion. Sa particularité réside dans un mode d’exfiltration des données qui ne dépend pas d’une connexion internet active sur l’appareil infecté. La cible principale est l’Ukraine, mais des banques françaises figurent parmi les applications surveillées.
Une exfiltration par relais Bluetooth et Wi-Fi Direct
Un cheval de Troie bancaire classique doit disposer d’une connexion internet pour transmettre les données volées vers son serveur de commande. En l’absence de réseau, la fuite est normalement bloquée. Manic contourne cette limitation en chiffrant les données collectées et en les mettant en file d’attente lorsque le serveur n’est pas joignable. Il recherche alors un autre appareil infecté à portée, puis transfère les données via Wi-Fi Direct ou Bluetooth. Le mécanisme peut impliquer jusqu’à quatre relais successifs : un appareil hors ligne peut transmettre ses secrets à un smartphone infecté situé à proximité, qui dispose encore d’une connexion et relaiera l’information.
Un détournement du service d’accessibilité Android
Le fonctionnement du malware repose en grande partie sur le service d’accessibilité d’Android, initialement conçu pour assister les personnes en situation de handicap. Manic le détourne en enregistreur de frappe. Lorsqu’une application bancaire affiche un pavé numérique, le malware superpose une couche transparente qui capture chaque appui. Les frappes sont ensuite rejouées via le service d’accessibilité, ce qui permet à l’application légitime de fonctionner normalement. Aucune fausse interface n’apparaît à l’écran : la victime interagit avec son clavier habituel, sans signe visible d’intrusion.
Le malware collecte et trie ensuite les informations sensibles : codes PIN, codes à quatre ou six chiffres reçus par SMS, phrases de récupération et mots de passe. Il lit également les notifications, accède aux contacts et à la position, et peut prendre le contrôle de l’écran à distance. Les applications de messagerie sont particulièrement visées.
169 applications ciblées et un vecteur d’infection incertain
Manic surveille 169 applications, qui vont des services bancaires aux portefeuilles de cryptomonnaies, en passant par les messageries et les outils de double authentification. Le vecteur d’infection exact n’a pas été déterminé, mais un installeur déguisé livrait la charge finale. Ce mode opératoire s’appuie sur l’installation manuelle d’un fichier APK par la victime, une pratique courante dans la diffusion de logiciels malveillants sur Android.
Interrogé par BleepingComputer, Google indique qu’aucune application vérifiée par Manic n’est présente sur le Play Store et que Play Protect bloque les versions connues du malware. Cette vérification limite la diffusion via la boutique officielle, mais ne couvre pas les installations hors magasin.
Conséquences pour les utilisateurs
La capacité de Manic à exfiltrer des données sans connexion internet directe remet en cause l’idée qu’un appareil hors ligne est nécessairement à l’abri. Le canal utilisé — Wi-Fi Direct et Bluetooth — imite des usages courants comme le partage de fichiers ou la synchronisation entre appareils. Les outils de détection ne scrutent pas nécessairement ce type de trafic comme une voie de fuite potentielle, ce qui complique la détection.
Pour les utilisateurs, les gestes de prévention restent classiques mais déterminants. Il convient d’éviter l’installation d’APK provenant de portails non fiables, de refuser l’autorisation d’accessibilité aux applications qui n’en ont pas un besoin évident, et de laisser Play Protect analyser régulièrement l’appareil. Les codes de vérification reçus par SMS restent fragiles face à ce type de menace.
Ce qui est confirmé et ce qui reste inconnu
Les faits établis incluent l’existence du malware Manic, son activité depuis février 2026, sa capacité à combiner vol bancaire et espionnage, le ciblage de 169 applications dont des banques françaises, et son mécanisme d’exfiltration par relais Bluetooth et Wi-Fi Direct. L’utilisation détournée du service d’accessibilité comme enregistreur de frappe est documentée.
En revanche, le vecteur d’infection initial n’est pas identifié avec certitude. L’ampleur réelle de la diffusion, le nombre d’appareils touchés et l’identité des auteurs restent inconnus. Aucune information ne permet d’établir une date de correction ou une évolution future du malware.