Manic, le malware Android qui crée un réseau maillé pour voler des données même hors ligne

Une menace Android encore en développement

Un nouveau malware Android baptisé Manic est actif depuis au moins février 2026. Il combine des fonctionnalités de cheval de Troie bancaire, de logiciel espion et de plateforme de Device Takeover (DTO). L’analyse de ThreatFabric a été publiée le 20 août 2026 ; une build observée en juillet 2026 indiquait que son développement se poursuivait.

La menace vise principalement l’Ukraine, où elle cible des banques, des services gouvernementaux, des applications d’identité numérique et des outils de communication liés au secteur militaire. La campagne touche également des institutions financières russes et européennes, des services fintech ainsi que des plateformes mondiales de cryptomonnaies.

Manic contrôle 169 applications Android. La liste comprend des applications bancaires et de paiement, des plateformes d’échange et des wallets crypto, des services eID, des outils d’authentification à deux facteurs, des applications de messagerie, des navigateurs et des clients de messagerie électronique.

Cette étendue permet aux opérateurs de réunir sur un même appareil des données financières, des communications, la localisation, des fichiers et des identifiants. Le résultat ne se limite donc pas au vol d’argent : le téléphone peut devenir une source d’informations personnelles, opérationnelles et potentiellement stratégiques.

Les services d’Accessibilité transformés en outil de surveillance

Après son installation, Manic demande l’accès aux services Android d’Accessibilité ainsi qu’aux notifications. Le premier lui permet d’observer l’interface et d’intercepter ce que l’utilisateur saisit ou consulte.

Le malware n’enregistre pas nécessairement chaque caractère indistinctement. Il classe les contenus collectés en distinguant les saisies de l’écran de verrouillage, les mots de passe, les messages longs, le texte courant, les codes SMS de quatre à six chiffres et les éventuelles phrases de récupération de wallets.

Chaque événement peut contenir :

• le nom et le package de l’application ;
• le texte intercepté ;
• l’horodatage ;
• l’indication de l’utilisation d’Autofill ou de la saisie manuelle ;
• la présence de l’application dans la liste des cibles configurée par les opérateurs.

L’accès aux notifications élargit la visibilité sur les codes temporaires, les messages et les alertes générés par les applications. Combinés, les services d’Accessibilité et les notifications peuvent ainsi compromettre des systèmes qui ajoutent un second facteur à l’authentification.

La liste surveillée comprend également des applications de messagerie, des navigateurs et des services de courrier électronique. Les attaquants peuvent ainsi relier des identifiants bancaires à des conversations, des comptes de messagerie, des données de navigation et des services d’identité numérique présents sur le même téléphone.

Codes PIN bancaires, écrans contrefaits et contrôle à distance

Manic intercepte les codes PIN bancaires au moyen d’une technique différente du simple overlay frauduleux. Lorsqu’il détecte un pavé numérique dans une application ciblée, il place une couche invisible au-dessus des touches et enregistre les pressions.

Après un bref traitement, le malware transmet les appuis au pavé authentique à l’aide des fonctions d’Accessibilité. L’application bancaire peut donc continuer à fonctionner normalement, sans que l’utilisateur remarque nécessairement une anomalie.

La fonction appelée autoEnterPin peut tenter de saisir dans l’écran de verrouillage Android un code PIN ou une séquence déjà mémorisée. Le scénario est direct :

1. Manic capture le code PIN lors de l’utilisation d’une application bancaire ;
2. il conserve cette information ;
3. il tente ensuite de l’utiliser pour déverrouiller l’appareil.

La build la plus récente observée inclut également la fonction dite de lock-secret phishing. Le malware affiche un écran contrefait avant le véritable écran de verrouillage et incite la victime à saisir un code PIN ou un schéma.

Une fois les autorisations nécessaires obtenues, les opérateurs peuvent contrôler l’appareil via WebRTC, afficher l’écran et interagir avec l’interface grâce aux services d’Accessibilité. Pour dissimuler l’activité, Manic peut afficher un écran noir, de fausses mises à jour, des demandes d’autorisation déguisées ou des écrans spécialement conçus.

L’application peut également supprimer sa propre icône du lanceur Android. Elle ne figure alors plus dans la liste habituelle des applications, tout en restant activable via un wrapper ou un deep link.

L’exfiltration se poursuit même sans Internet

L’aspect le plus inhabituel de Manic réside dans son mécanisme de transfert store-and-forward. Les fichiers et les résultats des commandes sont chiffrés avec AES-GCM, puis placés dans une file d’attente locale.

Si le téléphone ne peut pas se connecter directement au serveur de commande et de contrôle, le malware recherche d’autres appareils infectés à proximité. Ceux-ci peuvent servir de relais et transmettre ultérieurement les données vers l’infrastructure des attaquants.

La communication entre les appareils peut utiliser :

• Wi‑Fi Direct ;
• Bluetooth RFCOMM ;
• BLE GATT.

La chaîne peut atteindre quatre sauts. Les informations peuvent donc transiter par plusieurs téléphones compromis avant de parvenir au serveur distant.

Ce comportement crée un réseau maillé opportuniste constitué des appareils des victimes. Désactiver la connexion Internet sur un seul téléphone ne suffit donc pas à interrompre l’exfiltration : un autre appareil infecté situé à portée radio peut recevoir les données et les transmettre à la place du premier.

Ce modèle est particulièrement pertinent dans les environnements où la connectivité est limitée ou volontairement interrompue. L’appareil peut continuer à collecter des informations, les conserver localement et les transférer lorsqu’il rencontre un relais disponible.

Évolution technique et mesures de protection

L’infrastructure associée à Manic semble avoir été enregistrée à partir de février 2026. Les services de développement et de production seraient apparus entre fin mars et avril 2026.

La build analysée en juillet 2026 intégrait des contrôles anti-analyse plus avancés ainsi que le chargement des fichiers DEX directement en mémoire. Cette dernière technique peut compliquer l’analyse statique et réduire les artefacts laissés sur le système de fichiers de l’appareil.

Aucune version spécifique d’Android vulnérable ni aucune application unique responsable de l’infection n’ont été identifiées. Le risque concerne les utilisateurs qui installent Manic et les comptes utilisés sur l’appareil : banques, wallets, messagerie électronique, services eID, applications 2FA et outils de communication peuvent être compromis simultanément.

Les indicateurs comportementaux à vérifier comprennent :

• des autorisations d’Accessibilité accordées de manière inattendue ;
• des demandes inhabituelles de code PIN, de schéma ou d’autres identifiants de déverrouillage ;
• des applications qui disparaissent du lanceur tout en restant activables ;
• des connexions Bluetooth ou Wi‑Fi Direct non justifiées par des transferts de fichiers ;
• des activités suspectes et corrélées sur les applications bancaires, wallets, applications 2FA et services eID ;
• des écrans noirs, de fausses mises à jour ou des demandes d’autorisation affichés à des moments inhabituels.

Le simple blocage de l’accès à Internet ne suffit pas. La défense doit inclure la vérification des autorisations d’Accessibilité, le contrôle des communications radio locales et l’analyse des applications autorisées à lire les notifications ou à interagir avec l’interface.

Toute personne qui soupçonne une compromission devrait révoquer les autorisations anormales, isoler l’appareil des réseaux et vérifier ses comptes depuis un appareil fiable. Il faut également contrôler les opérations bancaires, les sessions actives, les wallets et les codes de récupération. Les versions concernées ainsi qu’une procédure publique de suppression spécifique ne sont pas connues.