Manic cible 169 applications Android, dont des banques, des services d’identification et des outils d’authentification utilisés dans plusieurs pays européens. Ce cheval de Troie peut récupérer un code PIN directement sur le vrai clavier de l’application, sans afficher de faux écran bancaire. Plus inquiétant encore, il peut faire transiter les données volées par un autre smartphone infecté situé à proximité.
Les chercheurs en sécurité ont identifié une menace particulièrement complète. Manic combine les fonctions d’un malware bancaire et d’un logiciel espion, avec des méthodes discrètes pour intercepter des informations sensibles.
La France fait partie des pays concernés.
Manic surveille 169 applications Android
Le malware cible 169 identifiants d’applications. On y trouve des banques, des services de paiement, des plateformes de paiement différé, des assurances, des portefeuilles de cryptomonnaies, des messageries, des navigateurs et des clients e-mail.
Des applications gouvernementales d’identité numérique et des outils d’authentification à deux facteurs figurent aussi dans la liste.
La campagne viserait surtout l’Ukraine, mais plusieurs pays européens sont également concernés, notamment l’Allemagne, la Pologne, l’Autriche, la France, l’Espagne, les Pays-Bas et le Royaume-Uni.
Une première version de Manic aurait été repérée en février 2026. Une nouvelle variante apparue en juillet renforcerait ses protections contre les outils d’analyse.
Il récupère le code PIN sur le vrai clavier bancaire
C’est là que Manic se distingue.
Les chevaux de Troie bancaires classiques affichent souvent une fausse page par-dessus l’application officielle. L’utilisateur saisit alors ses identifiants dans une interface imitée.
Manic n’en a pas besoin.
Lorsqu’il détecte un clavier numérique dans une application ciblée, il place une couche transparente au-dessus des touches. Chaque pression est enregistrée, puis reproduite presque immédiatement grâce aux services d’accessibilité Android.
L’application bancaire reçoit donc bien le code saisi et fonctionne normalement.
À l’écran, rien ne change.
Mais le code PIN a aussi été intercepté.
Mots de passe, codes SMS et phrases de récupération sont aussi visés
Manic peut également exploiter les services d’accessibilité comme un enregistreur de saisie.
Le malware tente notamment d’identifier des mots de passe, des codes de verrouillage, des codes SMS de quatre à six chiffres ou encore des phrases de récupération utilisées avec certains portefeuilles crypto.
Une fonction appelée autoEnterPin pourrait même essayer de saisir automatiquement un code PIN ou un schéma de déverrouillage déjà récupéré auparavant.
Le niveau d’accès est donc particulièrement large.
Couper Internet ne bloque pas forcément la fuite de données
Autre particularité de Manic : un téléphone infecté peut transmettre ses données sans être lui-même connecté à Internet.
Si le smartphone ne parvient plus à joindre le serveur des attaquants, les informations collectées sont chiffrées puis stockées temporairement.
Manic cherche alors un autre appareil infecté à proximité via Wi-Fi Direct, Bluetooth ou Bluetooth Low Energy.
Si ce second téléphone dispose d’un accès au réseau, les données peuvent lui être envoyées avant de repartir vers le serveur distant.
Le système serait capable d’utiliser jusqu’à quatre relais successifs.
En clair, mettre un smartphone hors ligne ne suffit pas toujours à couper la transmission.
Manic cherche à se faire passer pour une application système
Le malware est composé de deux parties : un programme chargé de l’installer et l’implant malveillant lui-même.
Pour éviter d’attirer l’attention, il utilise des noms de paquets qui ressemblent à ceux de composants système classiques.
Parmi les exemples observés figurent tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler ou encore io.motorola.secure.executor.
La version repérée en juillet irait plus loin en masquant son icône dans le tiroir d’applications.
Difficile, dans ce cas, de le repérer d’un simple coup d’œil.
Deux autorisations Android lui donnent l’essentiel de ses pouvoirs
Manic dépend principalement de deux accès : les services d’accessibilité et la lecture des notifications.
Ces autorisations peuvent lui permettre de surveiller les saisies, d’intercepter certaines données et d’automatiser des actions directement à l’écran.
Le malware tenterait même de désactiver Google Play Protect en simulant automatiquement les pressions nécessaires.
Il est donc recommandé de vérifier régulièrement les applications autorisées dans les paramètres d’accessibilité ainsi que celles ayant accès aux notifications.
Toute application inconnue disposant de ces droits doit être examinée avec attention. Il est également utile de vérifier que Google Play Protect est toujours activé.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
