ToxicPanda revient dans une version nettement plus agressive. Le cheval de Troie bancaire détourne désormais le VPN d’Android pour bloquer les communications du Play Store et des Google Play Services, puis exploite les services d’accessibilité et de débogage afin d’étendre son contrôle sur l’appareil.
Le nom de ToxicPanda vous dit peut-être déjà quelque chose. Repéré en 2024 par Cleafy, ce malware bancaire Android avait déjà infecté plus de 1 500 appareils, principalement en Europe, dans le but de prendre le contrôle de comptes bancaires et d’effectuer des transactions frauduleuses. Deux ans plus tard, Zimperium alerte sur une version 2.0 bien plus ambitieuse. Le malware cible désormais 349 applications financières dans 16 pays et surtout, il combine plusieurs fonctions légitimes d’Android pour contourner les protections natives du système et gagner de nouveaux privilèges.
ToxicPanda met les services de Google hors circuit avant de gagner de nouveaux privilèges
Dans le détail, ToxicPanda 2.0 mise sur une manœuvre assez inhabituelle : il demande à sa victime la permission d’établir une connexion VPN. Pour rendre la demande crédible, le malware affiche une fausse interface imitant le Play Store avant de déclencher la véritable fenêtre d’autorisation d’Android. Une fois celle-ci accordée, il crée un réseau privé virtuel local qui lui permet de filtrer le trafic réseau et de bloquer les communications du Google Play Store et des Google Play Services. Il peut ainsi techniquement perturber les vérifications de sécurité, les mises à jour ou encore les échanges avec Play Protect avant l’installation de sa charge malveillante.
ToxicPanda cherche ensuite à obtenir l’accès aux services d’accessibilité, qui lui ouvrent la voie vers un outil bien plus puissant : Android Debug Bridge, ou ADB. Destiné à l’origine aux développeurs, ADB permet d’exécuter des commandes directement sur un appareil Android. Grâce aux droits d’accessibilité, le trojan peut activer les options développeur et le débogage sans fil, récupérer le code d’appairage et le port nécessaires, puis se connecter lui-même à ADB. Il peut alors envoyer directement des commandes au système pour s’octroyer davantage de permissions, contourner les restrictions d’exécution en arrière-plan et renforcer sa persistance.
À cela s’ajoutent enfin les fonctions plus classiques d’un cheval de Troie bancaire. ToxicPanda 2.0 prend en charge 167 commandes à distance et des écrans de phishing visant 349 applications bancaires, financières, de cryptomonnaies et de portefeuilles numériques. Il peut également reproduire l’écran de verrouillage pour récupérer un code PIN, un schéma ou un mot de passe, tandis que de faux écrans de mise à jour servent à masquer son activité.
Comment éviter de laisser ToxicPanda 2.0 prendre le contrôle de votre smartphone
La bonne nouvelle, c’est que ToxicPanda a besoin de plusieurs autorisations sensibles pour déployer tout son arsenal. Cette nouvelle version est distribuée via des fichiers hébergés sur des infrastructures AWS, et non directement par le Play Store. Première précaution, donc : éviter d’installer des APK provenant de liens ou de sources inconnues, même lorsqu’ils imitent une application ou une mise à jour légitime.
Une application qui réclame sans raison évidente l’autorisation de créer un VPN ou d’utiliser les services d’accessibilité doit également éveiller les soupçons. Même chose si les options développeur ou le débogage sans fil s’activent sans que vous en soyez à l’origine. Ces fonctions ont des usages parfaitement légitimes, mais une application bancaire, un utilitaire ou une fausse mise à jour n'ont généralement aucune raison d’en avoir besoin.
En cas de doute sur un appareil potentiellement compromis, commencez par révoquer ces autorisations, supprimer l’application suspecte et vérifier que le débogage sans fil est bien désactivé. Si vous avez saisi des identifiants bancaires pendant l’infection, changez-les rapidement depuis un appareil sain et contactez votre banque. Modifiez aussi le code PIN, le mot de passe ou le schéma utilisé pour verrouiller votre smartphone s’il a pu être intercepté.
Sur Android, une application peut demander à créer un VPN via l’API officielle. Une fois l’autorisation accordée, elle peut faire transiter le trafic réseau par une interface virtuelle qu’elle contrôle et filtrer sélectivement certaines connexions. Ce mécanisme, pensé notamment pour les VPN et les outils de filtrage, peut aussi être détourné par un malware. ToxicPanda s’en sert ainsi pour bloquer les communications du Play Store et des Google Play Services, avec la possibilité de perturber des vérifications de sécurité, certaines mises à jour ou les échanges avec Play Protect. La partie trompeuse repose sur l’interface : le malware affiche un écran factice imitant le Play Store pour pousser sa victime à accepter la véritable fenêtre d’autorisation VPN d’Android. Sans cet accord, il ne peut pas mettre en place ce filtrage de cette manière.
Les services d’accessibilité donnent à une application des capacités d’automatisation avancées pour aider des personnes en situation de handicap (lecture d’écran, interaction avec l’interface, actions à la place de l’utilisateur). Concrètement, cela peut permettre de lire du texte à l’écran, cliquer sur des boutons, valider des permissions ou naviguer dans les réglages. Un malware s’en sert pour automatiser des actions dans l’interface, y compris naviguer dans les réglages ou interagir avec des demandes d’autorisation. C’est aussi un moyen d’observer ce qui s’affiche (écrans bancaires, codes), ce qui facilite le vol d’identifiants et le contournement de protections. L’indice le plus parlant est une demande d’accessibilité sans lien clair avec la fonction de l’application.
ADB est un outil de développement qui permet d’exécuter des commandes sur un appareil Android pour tester, diagnostiquer ou automatiser des tâches. Avec le débogage sans fil, la connexion ADB peut se faire via le réseau après un appairage, sans câble USB. Si un logiciel malveillant parvient à activer cette fonction et à récupérer les paramètres d’appairage, il peut obtenir un contrôle beaucoup plus étendu sur l’appareil : exécution de commandes, ajustements de réglages, contournement de certaines restrictions et renforcement de la persistance. Dans un usage normal, ADB n’est pas nécessaire pour la majorité des applications grand public, et son activation doit rester ponctuelle. Désactiver les options développeur et le débogage quand ils ne servent pas réduit nettement le risque d’abus.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.