Trois chevaux de Troie bancaires relancent la menace contre Android et Windows

Les signalements recueillis le 22 août 2026 décrivent trois familles de malwares nouvelles ou mises à jour : Manic, Grandoreiro et ToxicPanda 2.0. Elles ciblent les smartphones Android et les ordinateurs Windows au moyen de techniques différentes, mais poursuivent un même objectif : dérober des identifiants, prendre le contrôle des appareils et faciliter des fraudes bancaires ou liées aux cryptomonnaies.

Manic transforme les smartphones Android en outils de surveillance

ThreatFabric a analysé Manic, un malware Android qui combine des fonctionnalités de cheval de Troie bancaire et de logiciel espion. Son principal foyer d’activité se situe en Ukraine, où il a ciblé des établissements bancaires, des services gouvernementaux et des applications de messagerie.

La menace a également été observée contre des institutions financières russes et européennes, des plateformes mondiales de cryptomonnaies et des fintechs, ainsi que des applications de messagerie utilisées dans des environnements militaires.

Manic peut être distribué via des sites web malveillants ou des droppers, c’est-à-dire des composants chargés d’installer le malware sur l’appareil. Une fois exécuté, il peut enregistrer les saisies de l’utilisateur, afficher des écrans de phishing et permettre le contrôle à distance du smartphone.

Ses capacités ne se limitent pas aux opérations bancaires. Le cheval de Troie peut surveiller les notifications, suivre la position de l’appareil, collecter des fichiers et espionner le téléphone à distance. Les notifications peuvent également révéler des codes à usage unique, des messages d’authentification ou d’autres informations utiles pour mener une fraude à bien.

L’élément le plus inhabituel est son système de relais mesh hors ligne. Si le smartphone infecté ne parvient pas à joindre directement le serveur de commande et de contrôle, il peut transférer les données par l’intermédiaire d’autres appareils compromis situés à proximité. La connexion peut utiliser Wi‑Fi Direct ou Bluetooth.

Ainsi, l’absence de connexion directe avec l’infrastructure criminelle n’interrompt pas nécessairement l’exfiltration. Les appareils infectés peuvent servir d’intermédiaires et former un réseau local entre eux.

Grandoreiro exploite un programme légitime sous Windows

Grandoreiro reste principalement actif en Amérique latine, le Mexique étant au cœur de la campagne récente suivie par Acronis. Originaire du Brésil et présent depuis près d’une décennie, le cheval de Troie continue également de cibler des victimes en Europe et en Amérique du Nord.

Contrairement à Manic et ToxicPanda, Grandoreiro opère sous Windows. Les échantillons récents détournent Duplicate Files Finder, une application légitime, afin de charger du code malveillant par DLL sideloading.

Cette technique exploite la manière dont un programme recherche et charge ses bibliothèques. Si une DLL modifiée est placée à l’emplacement attendu, l’application authentique peut finir par exécuter le composant malveillant. L’utilisation d’un logiciel réel rend l’activité plus difficile à distinguer des processus habituels présents sur la machine.

L’échantillon initial intègre également un vaste dispositif anti-analyse. Grandoreiro vérifie la présence de sandboxes, recherche les artefacts associés aux machines virtuelles, analyse les processus en cours d’exécution et profile l’environnement système.

Des listes noires de processus et des contrôles destinés à contourner les systèmes d’analyse automatisée sont également présents. Ces vérifications précèdent la tentative de contacter l’infrastructure de commande et de contrôle : le malware cherche d’abord à déterminer s’il se trouve sur un véritable ordinateur ou dans un environnement utilisé par des chercheurs.

Ce comportement complique le travail des équipes de défense. Un échantillon peut rester inactif pendant l’analyse automatisée et ne s’activer que lorsqu’il détecte des conditions compatibles avec un poste de travail utilisé au quotidien.

ToxicPanda 2.0 élargit considérablement ses cibles financières

Zimperium a identifié ToxicPanda 2.0, une version mise à jour du cheval de Troie bancaire Android connu pour son activité principalement en Europe.

Le changement le plus marqué concerne la surface d’attaque. La nouvelle version contient une liste de près de 350 applications financières, alors que les versions précédentes n’en ciblaient que 16. Le malware est conçu pour viser des institutions financières réparties dans 16 pays.

Parmi les États concernés figurent le Pakistan, l’Afrique du Sud, le Mexique, le Nigeria, l’Inde, l’Indonésie et le Panama. Le périmètre couvre donc des marchés très différents et ne se limite pas à un seul système bancaire national.

ToxicPanda 2.0 prend en charge 167 commandes à distance. Les opérateurs peuvent ainsi transmettre de nombreuses instructions à l’appareil compromis et adapter le comportement du cheval de Troie au modèle de smartphone, à l’application financière utilisée ou à l’étape de la fraude.

La variante introduit également un mécanisme automatisé fondé sur les clics pour exploiter Android Wireless Debugging, également appelé ADB. Cette fonctionnalité peut permettre une élévation de privilèges et l’accès au shell de l’appareil.

L’accès au shell offre aux attaquants une surface de contrôle plus large que la simple superposition d’une fausse page. Selon les privilèges obtenus, il peut permettre d’exécuter des commandes, d’interroger le système et d’interagir avec des composants normalement inaccessibles aux applications courantes.

La distribution a enfin évolué. Les échantillons observés sont hébergés dans des buckets Amazon AWS, exploitant une infrastructure cloud légitime ou largement accessible pour transmettre le malware aux victimes.

Trois stratégies différentes pour parvenir à la fraude

Les trois familles présentent des approches complémentaires.

Manic combine le vol de données, la surveillance, le contrôle à distance et la communication entre appareils infectés. Son impact peut dépasser le compte bancaire et toucher les fichiers, la position, les notifications et les conversations présentes sur le smartphone.

Grandoreiro mise quant à lui sur la compromission de Windows au moyen de logiciels légitimes et du DLL sideloading. Les mécanismes anti-sandbox et anti-virtualisation cherchent à réduire les risques d’identification du malware pendant l’analyse.

ToxicPanda 2.0 élargit le nombre d’applications financières ciblables et ajoute un système de contrôle à distance bien plus sophistiqué. L’exploitation d’ADB accroît également le risque d’accès de bas niveau à l’appareil.

Les victimes potentielles comprennent les utilisateurs Android, les employés utilisant des postes Windows, les banques, les services fintech, les plateformes de cryptomonnaies, les organismes gouvernementaux et les applications de messagerie. Les conséquences peuvent inclure le vol d’identifiants, l’interception de notifications, l’exfiltration de fichiers, le suivi de la position et l’exécution de transactions frauduleuses.

Points à surveiller et informations manquantes

Aucun identifiant CVE, aucune version logicielle concernée, aucun correctif, indicateur de compromission ou procédure de suppression spécifique n’a été communiqué. On ignore également si ces menaces ont été ajoutées au catalogue KEV de la CISA.

Sur le plan opérationnel, les administrateurs doivent surveiller les installations provenant de sites non officiels et les droppers Android associés à Manic. Il convient également d’examiner les demandes inhabituelles de contrôle à distance ainsi que les accès anormaux aux notifications, à la position, aux fichiers et aux fonctionnalités d’accessibilité.

Dans le cas de Grandoreiro, l’exécution inattendue de Duplicate Files Finder, le chargement inhabituel de DLL et les contrôles anti-analyse doivent être corrélés avec la télémétrie des processus et du réseau. Pour ToxicPanda 2.0, une attention particulière doit être portée aux connexions vers des buckets AWS suspects, à l’activation imprévue de Wireless Debugging et à l’utilisation anormale d’ADB ou du shell.

Les utilisateurs doivent installer des applications uniquement depuis des canaux fiables, maintenir le débogage sans fil désactivé lorsqu’il n’est pas nécessaire et vérifier auprès de leur banque toute opération inattendue. Pour les organisations, la surveillance centralisée des appareils mobiles, des processus Windows et des accès aux applications financières reste essentielle, car aucun correctif dédié ne peut actuellement être appliqué à ces trois familles.