Manic, le malware Android qui vole vos données même quand le smartphone est hors connexion

Votre smartphone est sans connexion et vous vous sentez à l’abris ? Détrompez-vous. L’entreprise de sécurité mobile ThreatFabric a identifié ce logiciel, actif depuis février 2026. Manic mélange deux familles qu’on croise d’ordinaire séparément : le cheval de Troie bancaire et le logiciel espion.

Il surveille 169 applications, des banques aux portefeuilles de cryptomonnaies, en passant par les messageries et la double authentification. La cible principale est l’Ukraine, mais des banques françaises figurent dans sa liste. Ce type de menace se planque souvent derrière de fausses applications, à l’image de ces faux sites qui imitent des logiciels populaires.

Un relais de proche en proche

La vraie nouveauté tient dans sa façon de faire sortir les données volées. D’habitude, un cheval de Troie bancaire a besoin d’une connexion internet active pour renvoyer son butin vers son serveur de commande (le C2, dans le jargon).

Coupez le réseau, vous coupez la fuite. Manic contourne l’obstacle. Quand le smartphone infecté ne joint pas le serveur, il chiffre les données, les met en file d’attente, puis cherche un autre appareil contaminé à portée. Le transfert passe par le Wi-Fi Direct ou le Bluetooth, avec jusqu’à quatre relais en cascade. En gros, votre smartphone hors ligne peut refiler ses secrets au smartphone infecté d’un inconnu à côté de vous, qui dispose encore du réseau.

Pourquoi les protections ne fonctionnent pas

Ce canal d’exfiltration passe sous les radars parce qu’il imite un usage banal. Le partage de fichiers et la synchronisation entre appareils empruntent le Bluetooth et le Wi-Fi local tous les jours. Les outils de détection ne scrutent pas ce trafic comme une voie de fuite possible.

Le reste de l’attaque s’appuie sur le service d’accessibilité d’Android, cette fonction pensée au départ pour les personnes en situation de handicap.

Manic la détourne en enregistreur de frappe. Sur le pavé numérique d’une application bancaire, il pose une surcouche transparente qui capte chaque appui, puis rejoue le geste via l’accessibilité pour que l’application continue de tourner normalement. Aucune fausse interface n’apparaît, la victime tape sur son vrai clavier.

Le malware trie ensuite sa récolte : code PIN, codes à quatre ou six chiffres reçus par SMS, phrases de récupération, mots de passe. Il lit aussi les notifications, aspire contacts et position, et peut prendre la main sur l’écran à distance. Les messageries l’intéressent particulièrement, comme souvent : une récente faille de WhatsApp donnait déjà accès aux photos, téléphone verrouillé.

Les bons réflexes

Le vecteur d’infection exact reste inconnu, mais un installeur déguisé livrait la charge finale. On retrouve la vieille recette, avec des pièges qui poussent la victime à installer elle-même l’application via APK. Google, interrogé par BleepingComputer, assure qu’aucune application vérolée par Manic ne se trouve sur le Play Store, et que Play Protect bloque les versions connues.

Les gestes utiles n’ont pas changé. Évitez les APK issus de portails obscurs, un terrain qui va d’ailleurs se compliquer sérieusement pour le sideload. Refusez l’accessibilité à toute application qui n’en a pas un besoin évident. Et laissez Play Protect scanner régulièrement. Les codes par SMS, eux, restent fragiles, déjà malmenés par des arnaques comme le SIM swapping.