Ce malware Android fait circuler vos données bancaires de téléphone en téléphone, même sans Internet

ThreatFabric a identifié Manic, un logiciel malveillant Android, lequel combine le vol de données bancaires à l'espionnage du terminal. Repéré principalement en Ukraine, il vise aussi des services financiers russes et européens, ainsi que des messageries sensibles. Et il a plus d'un tour dans son sac puisqu'il est capable de relayer les données volées via un autre téléphone infecté à proximité si l'appareil visé perd sa connexion Internet.

Comment Manic vole le code PIN

Manic se propage via des sites de phishing et des applications piégées imitant des utilitaires système. Il emprunte des noms tel que Intel, Honor, Lenovo, Apple, Motorola ou Huawei. Une fois installé, il surveille 169 applications. On retrouve des banques, des services de paiement, des portefeuilles et plateformes d'échange de cryptomonnaies, des messageries instantanées, des identités numériques gouvernementales, des authentificateurs, des navigateurs ou encore des clients mail. S'il cible particulièrement l'Ukraine, Manic est aussi actif en Russie, en Pologne, en Allemagne, en France, au Royaume-Uni et dans plusieurs pays européens.

Manic exploite les services d'accessibilité d'Android, prévus pour faciliter la navigation des utilisateurs en situation de handicap. Plutôt que d'afficher une fausse page de connexion comme la plupart des chevaux de Troie bancaires, il pose une couche transparente uniquement sur le clavier numérique de l'application visée. Il enregistre la position du doigt, coupe brièvement l'interception tactile, puis reproduit l'appui exact sur le vrai clavier grâce à cette même API. La transaction s'exécute normalement pendant que le code PIN est capturé en arrière-plan. Une fonction distincte, active sur l'écran de verrouillage, tente de mémoriser puis de réutiliser le code ou le schéma de déverrouillage du téléphone.

Une fois ces accès obtenus, Manic classe le texte saisi par catégorie (identifiants, codes à usage unique, phrases de récupération). Il ouvre aussi des sessions vidéo en direct via WebRTC pour permettre à un opérateur de regarder et de commander l'appareil à distance. Le programme récupère la localisation, les contacts, l'historique d'appels, les SMS et les notifications. Il prend aussi des captures d'écran et peut désactiver Google Play Protect par automatisation de l'interface. Manic reste actif grâce à des tâches de fond et des alarmes système. Elles relancent les services d'accessibilité toutes les 10 à 15 minutes.

Une exfiltration des données bien spécifique

Manic embarque un mode d'exfiltration bien particulier. Les données collectées sont chiffrées (AES-GCM) puis placées dans une file d'attente locale plutôt qu'envoyées directement au serveur de commande. Le téléphone infecté cherche ensuite un autre appareil compromis à proximité, via Wi-Fi Direct, Bluetooth RFCOMM ou BLE GATT. S'il en trouve un, il lui transmet le paquet chiffré, lequel peut transiter par quatre relais au maximum avant d'atteindre l'infrastructure de l'attaquant. Couper la connexion Internet d'un téléphone visé ne suffit donc pas à empêcher le vol de données si un autre appareil infecté se trouve à portée radio.

Encore faut-il que les deux téléphones se trouvent l'un l'autre. Un appareil infecté qui dispose encore d'un accès Internet peut créer un groupe Wi-Fi Direct. Ce dernier porte toujours le même nom, et Manic retente l'opération jusqu'à trois fois si elle échoue. L'objectif est donc de se rendre visible auprès d'un autre appareil compromis resté hors ligne. Avant d'être utilisé comme relais, ce pair est interrogé pour vérifier qu'il dispose réellement d'une connexion vers Internet, plutôt que sollicité au hasard. Chaque paquet transmis conserve aussi un compteur de sauts dans ses métadonnées. Cela permet au réseau de respecter la limite de quatre relais et d'éviter qu'une même donnée circule indéfiniment entre plusieurs téléphones infectés.