ToxicPanda 2.0 frappe 349 applications financières et exploite ADB pour prendre le contrôle des appareils Android

Une campagne bien plus vaste que la précédente

Le 22 août 2026, Zimperium zLabs a décrit ToxicPanda 2.0, une nouvelle version du malware Android qui élargit considérablement le nombre de cibles financières. La variante précédente était associée à 16 applications bancaires ; la nouvelle en identifie 349, réparties entre banques et services financiers de 16 pays.

Cette extension inclut également des applications liées aux cryptomonnaies. Le malware ne se contente pas de voler des identifiants : il peut contrôler l’interface, automatiser des opérations, modifier les paramètres et maintenir son accès à l’appareil.

La campagne n’a pas été attribuée à un groupe criminel précis. Aucun identifiant CVE n’a été communiqué, car l’attaque ne repose pas sur une nouvelle vulnérabilité logicielle, mais sur l’abus de fonctions légitimes d’Android.

Installation déguisée et contournement de Play Protect

ToxicPanda 2.0 se présente comme une application légitime et utilise un écran d’installation contrefait. À ce stade, il demande des autorisations VPN, ensuite exploitées pour entraver les communications de Google Play Protect.

Le payload effectif est chiffré et dissimulé dans les fichiers assets de l’application. Une fois installé, le malware tente de rendre son activité moins visible et d’obtenir des capacités opérationnelles supplémentaires.

La chaîne d’infection exploite plusieurs composants normalement destinés à des fonctions d’administration, d’accessibilité ou de développement :

• Android Accessibility Service ;
• Wireless Debugging ;
• Android Debug Bridge, ou ADB ;
• les API de gestion de l’appareil ;
• les privilèges Device Administrator.

L’abus des fonctions d’accessibilité est central. Le service permet au malware de lire les éléments affichés à l’écran, de repérer les boutons et d’interagir avec les applications comme le ferait un utilisateur.

L’association sans fil ouvre la voie vers le shell

L’élément le plus important de la nouvelle analyse concerne l’automatisation du mécanisme Android Wireless Debugging. ToxicPanda 2.0 peut ouvrir les options pour les développeurs en simulant les sept pressions sur le numéro de version, puis activer le débogage sans fil.

Grâce à Accessibility Service, le malware lit à l’écran le code d’association à six chiffres. Il effectue ensuite la procédure cryptographique de pairing et établit une connexion ADB, en essayant de ne pas signaler clairement à l’utilisateur l’activation du mode développeur.

Cette étape élargit considérablement le niveau de contrôle accessible. Avec ADB, ToxicPanda peut exécuter des commandes sans dépendre des invites d’autorisation habituelles visibles par l’utilisateur. Il peut également :

• s’attribuer des autorisations supplémentaires ;
• réduire les restrictions appliquées aux activités en arrière-plan ;
• activer des composants Android sans consentement explicite ;
• renforcer sa persistance ;
• exécuter des commandes au niveau du shell.

La même automatisation des clics est adaptée aux interfaces personnalisées des fabricants. Zimperium cite Xiaomi, Samsung, Huawei et d’autres versions modifiées d’Android : le malware peut ainsi gérer des boîtes de dialogue et des confirmations différentes selon l’appareil.

Identifiants, codes de déverrouillage et fraudes financières

ToxicPanda identifie l’application ouverte et la compare à sa liste de 349 cibles. Lorsqu’il reconnaît un service financier, il peut superposer un écran de connexion contrefait afin de capturer les identifiants.

Les opérateurs disposent également de techniques plus intrusives. Une couche transparente et invisible peut intercepter les pressions, les codes PIN et d’autres saisies, tandis que l’accès aux éléments de l’interface permet de dérober ce qui est affiché à l’écran.

Le malware peut aussi afficher une réplique de l’écran de verrouillage Android. Il tente ainsi de récupérer les codes PIN, les schémas et les mots de passe de l’appareil. Le code de déverrouillage peut permettre aux attaquants de conserver ou de rétablir leur accès après la phase initiale de l’infection.

Le contrôle à distance permet de manipuler les sessions dans les applications bancaires et de cryptomonnaie. Parmi les utilisations possibles figurent l’automatisation d’opérations, la modification des paramètres et la réalisation de fraudes directement depuis le terminal compromis.

167 commandes et de nouvelles fonctions opérationnelles

ToxicPanda 2.0 dispose de 167 commandes à distance. Certaines fonctions qu’une analyse précédente de Cleafy avait considérées comme inopérantes fonctionnent finalement dans cette nouvelle version.

Les capacités documentées comprennent notamment :

• l’automatisation des fenêtres d’autorisation propres aux fabricants ;
• la demande des privilèges Device Administrator via une fausse notification de « service système » ;
• la réinitialisation à distance du mot de passe de l’écran de verrouillage à l’aide d’API Android légitimes ;
• le chargement d’une page contrôlée par l’attaquant dans une superposition en plein écran ;
• le contrôle et la surveillance à distance de l’écran ;
• l’exécution de commandes au moyen du jeu d’instructions disponible.

Ces fonctions combinent surveillance, vol de données et administration de l’appareil. L’attaquant peut modifier le terminal sans devoir introduire un exploit spécifique à une version d’Android.

AWS complique le blocage de l’infrastructure

Les échantillons observés sont distribués à l’aide de buckets hébergés sur Amazon AWS. Il s’agit d’un changement par rapport aux infrastructures plus rudimentaires associées aux campagnes précédentes.

L’utilisation de services cloud légitimes réduit l’efficacité du simple blocage des adresses IP. Bloquer des plages AWS entières pourrait en effet affecter le trafic d’entreprise et des applications fiables, sans distinguer automatiquement les contenus malveillants.

La source ne publie pas suffisamment d’indicateurs techniques détaillés pour permettre un blocage universel de l’infrastructure. La défense doit donc corréler plusieurs signaux : applications suspectes, demandes anormales d’autorisations, connexions vers des buckets inhabituels et modifications des paramètres de l’appareil.

Points à surveiller sur les appareils Android

Aucun correctif spécifique ni aucune correction liée à une vulnérabilité Android n’ont été indiqués. On ignore également si ToxicPanda 2.0 figure dans le catalogue KEV de la CISA ou si des échéances de remédiation ont été fixées.

Les organisations doivent surveiller l’activation inattendue d’Accessibility Service, de Wireless Debugging, d’ADB et de Device Administrator. Une attention particulière doit être accordée à l’ouverture automatisée des options pour les développeurs et aux tentatives d’association sans fil.

Il convient également de vérifier :

• les demandes VPN provenant d’applications non fiables ;
• les écrans d’installation inhabituels ou contrefaits ;
• les tentatives d’entrave à Google Play Protect ;
• les superpositions affichées au-dessus d’applications bancaires ;
• les faux écrans de verrouillage ou les pages en plein écran ;
• les modifications non sollicitées des mots de passe, des autorisations et des activités en arrière-plan ;
• l’activation inattendue de composants Android ;
• les connexions vers des buckets AWS suspects.

Les seules signatures statiques peuvent ne pas suffire. ToxicPanda 2.0 utilise des outils normaux du système d’exploitation pour les transformer en canaux permettant de lire l’écran, d’autoriser des opérations et d’obtenir un contrôle à distance. La priorité est donc de détecter des combinaisons anormales de comportements légitimes, plutôt que de rechercher uniquement un fichier déjà connu.