ToxicPanda 2.0 vide des comptes bancaires via Android : 349 applis ciblées

Vous téléchargez ce qui ressemble à une application banale. Elle réclame une permission de réseau privé virtuel (VPN), un accessoire courant sur un téléphone. Vous acceptez. En quelques secondes, votre téléphone vient d'éteindre lui-même son propre antivirus.

C'est le scénario d'ouverture de ToxicPanda 2.0, la nouvelle version d'un cheval de Troie bancaire (un logiciel malveillant déguisé en application saine pour voler de l'argent) qui vise les téléphones Android. Documentée par les chercheurs de Zimperium zLabs (société américaine de sécurité mobile), cette version cible 349 applications financières dans 16 pays, contre 16 auparavant.

Le mécanisme est inédit : le logiciel détourne une fonction de protection du téléphone pour désactiver Google Play Protect, l'antivirus intégré d'Android. Précisons le périmètre : nous parlons ici de ToxicPanda 2.0, la variante documentée en août 2026, distincte de la première vague de 2024, bien plus limitée.

Dans cet article :

• Le tour de passe-passe : une permission anodine qui éteint votre antivirus
• Une fois entré : votre écran, vos codes, votre argent
• L'arme nouvelle : le téléphone qui se pirate lui-même
• 349 applis, 16 pays : qui est vraiment dans le viseur
• Comment vérifier si votre téléphone est touché, et le nettoyer

Le tour de passe-passe : une permission anodine qui éteint votre antivirus

Tout commence par un compte-gouttes (« dropper » en anglais : une fausse application dont le seul rôle est d'installer discrètement le vrai virus). Le piège arrive rarement par la boutique officielle. Le logiciel est hébergé sur des espaces de stockage Amazon AWS, dont la bonne réputation lui fait passer certains filtres de sécurité [1].

Vient ensuite la première demande, celle qui a l'air inoffensive : l'autorisation de créer un VPN. Beaucoup d'applications légitimes le font, alors l'utilisateur accepte sans réfléchir. Sauf que ce VPN ne protège rien du tout.

Une fois accordée, cette permission crée une interface réseau locale qui donne au logiciel le contrôle de tout le trafic du téléphone. Il devient le péage par lequel passe chaque connexion, et il décide qui a le droit de parler à qui.

Son premier geste avec ce pouvoir est chirurgical : il bloque les communications vers Google Play et Google Play Services. Le téléphone ne peut plus joindre le service qui vérifie les applications, distribue les mises à jour et fait tourner Play Protect.

Le malware baisse donc le rideau de fer avant de commettre son cambriolage. Coupé de sa maison mère, Google Play Protect ne peut plus signaler l'intrus ni le supprimer. C'est seulement à ce moment-là que le vrai code malveillant, caché dans les fichiers de l'application, est déchiffré et installé [2].

Une fois entré : votre écran, vos codes, votre argent

Le logiciel réclame alors la deuxième permission clé : le service d'accessibilité d'Android. C'est l'outil qui permet normalement aux lecteurs d'écran d'aider les personnes malvoyantes, en lisant l'interface et en la pilotant à leur place.

Entre de mauvaises mains, cette même fonction devient un passe-partout. Le malware voit tout ce qui s'affiche à l'écran, lit chaque élément, enregistre chaque toucher et manipule les applications comme s'il tenait votre doigt.

Le vol passe par deux mécanismes distincts, à ne pas confondre. D'abord la superposition trompeuse (« overlay ») : quand vous ouvrez une application visée, une fausse page de connexion identique à l'originale se plaque par-dessus et capture vos identifiants. C'est ce procédé qui cible 349 établissements financiers [4].

Ensuite, un module séparé de vol de code PIN qui vise plus de 140 applications bancaires et de cryptomonnaies. Les superpositions restent invisibles pour la victime, ce qui permet d'enregistrer les touchers sur les applications ciblées sans éveiller le moindre soupçon.

ToxicPanda 2.0 sait aussi afficher un faux écran de verrouillage pour vous soutirer le code, le schéma ou le mot de passe qui déverrouille l'appareil lui-même. Avec ça, l'attaquant garde un accès durable, même après un redémarrage.

La finalité n'est pas d'espionner pour le plaisir. C'est la fraude sur l'appareil (« on-device fraud ») : l'attaquant pilote à distance votre vraie session bancaire, depuis votre propre téléphone, pour déclencher des virements qui paraissent parfaitement légitimes aux yeux de la banque. On retrouve ce procédé dans d'autres offensives récentes, comme ce logiciel espion qui pilote votre navigateur pendant que vous regardez.

L'arme nouvelle : le téléphone qui se pirate lui-même

La fonction qui inquiète le plus les chercheurs est l'abus automatisé du débogage sans fil d'Android. Le pont de débogage Android (ADB) est un outil réservé aux développeurs pour envoyer des commandes en profondeur à un appareil, normalement par câble.

Depuis Android 11, ce même accès existe par Wi-Fi, sans câble. ToxicPanda 2.0 l'active tout seul : il déverrouille les options pour développeurs, allume le débogage sans fil, récupère le code d'appairage à six chiffres et s'octroie un accès de niveau système au téléphone [1].

Il obtient ces privilèges élevés en contournant les fenêtres de confirmation qu'Android affiche d'habitude. Bradley Smith, directeur adjoint de la sécurité chez BeyondTrust, résume le problème : ToxicPanda 2.0 ne casse pas Android, il le pilote. Et il n'existe aucun correctif pour une fonction qui marche exactement comme prévu [4].

Le logiciel sait même survivre à l'extinction. Une commande baptisée « autoBoot » identifie le fabricant du téléphone et ouvre les réglages de démarrage automatique propres à chaque marque, pour ne jamais être tué par les systèmes d'économie de batterie.

Zimperium précise que l'astuce vise les appareils Xiaomi, OPPO, Vivo, Samsung et Huawei [2]. La quasi-totalité du marché Android est donc concernée par ce verrou de persistance.

349 applis, 16 pays : qui est vraiment dans le viseur

Le changement d'échelle est brutal. La version d'origine, repérée fin 2024, ne visait que 16 applications bancaires. La 2.0 en cible 349 par superposition, plus de 140 par son module de code PIN, et embarque 167 commandes que les attaquants peuvent envoyer à distance.

La cible a aussi changé de continent. À ses débuts, ToxicPanda était un problème européen. La version 2.0 déploie son filet sur 16 pays, dont le Pakistan, l'Afrique du Sud, le Mexique, le Nigeria, l'Inde, l'Indonésie et le Panama [3].

Ce virage suit l'argent. Ces marchés combinent une très forte part d'Android, une explosion des applications de paiement mobile et une sensibilisation encore faible aux logiciels malveillants sophistiqués.

Pour mesurer le chemin parcouru, il faut revenir à la première vague. En octobre 2024, les chercheurs de Cleafy (société italienne de sécurité bancaire) avaient identifié un réseau de plus de 1 500 appareils infectés, principalement en Italie, au Portugal, à Hong Kong, en Espagne et au Pérou [5].

L'Italie concentrait alors 56,8 % des infections et le Portugal 18,7 %. Le rapport de force s'est ensuite inversé.

Début 2025, le Portugal était devenu l'épicentre avec près de 3 000 appareils compromis, devant l'Espagne et son millier de machines. À eux deux, ces pays représentaient plus de 85 % des infections observées, pour un pic mesuré à 4 500 appareils [6].

En un an, une nuisance régionale bricolée est devenue une plateforme de fraude mondiale, modulaire et pilotable à distance. La logique rappelle celle du malware distribué via de fausses mises à jour, où l'infrastructure prime sur le coup unique.

Comment vérifier si votre téléphone est touché, et le nettoyer

Bonne nouvelle d'entrée de jeu : ce logiciel n'arrive pas par la boutique officielle et n'atteint pas votre téléphone sans un geste de votre part. La défense tient donc surtout à quelques réflexes concrets. Voici comment repérer l'intrus, puis le déloger si le mal est fait.

Les signaux qui doivent vous alerter

Le premier drapeau rouge est une demande de permission incohérente. Une lampe torche, une application de retouche photo ou un jeu qui réclame l'accès VPN ou le service d'accessibilité n'a aucune raison légitime de le faire. Refusez, puis désinstallez.

Méfiez-vous surtout des applications installées hors Google Play, via un lien reçu par message, par e-mail ou sur un site tiers. C'est la porte d'entrée quasi systématique de ToxicPanda. Depuis Android 13, un réglage bloque justement l'accessibilité pour ce type d'installations : le message « pour votre sécurité, ce réglage est actuellement indisponible » est une protection, pas un bug à contourner [8].

Vérifiez enfin les permissions sensibles déjà accordées. Dans les réglages, passez en revue les rubriques Accessibilité, Administrateurs de l'appareil, VPN et accès aux notifications. Toute application inconnue ou au nom bizarre qui y figure est suspecte.

La procédure de nettoyage, dans le bon ordre

Un logiciel malveillant qui détient l'accessibilité résiste souvent à la désinstallation : la fonction qui lui permet de voler lui permet aussi de bloquer votre bouton « désinstaller ». L'ordre des opérations décide donc de qui reprend la main.

Première étape, coupez le Wi-Fi et les données mobiles. Privé de réseau, le logiciel ne reçoit plus d'ordres et ne peut plus se réinstaller en douce. Ce geste neutralise son bras armé le temps du ménage.

Deuxième étape, démarrez en mode sans échec (« Safe Mode »). Ce mode lance le téléphone avec les applications téléchargées désactivées : l'intrus ne peut plus interférer avec vos actions. Vous pouvez alors ouvrir les réglages et désinstaller l'application suspecte [7].

Si le bouton reste grisé, ne forcez pas : ouvrez d'abord la section Sécurité, retirez ses droits d'administrateur, puis supprimez-la. Redémarrez ensuite normalement et lancez une analyse manuelle de Google Play Protect depuis la boutique.

Le réflexe qui sauve vraiment vos comptes

Le point le plus important arrive souvent trop tard : changez vos mots de passe bancaires et de messagerie depuis un autre appareil, propre, jamais depuis le téléphone potentiellement infecté. Sinon vous risquez de retaper vos identifiants sous les yeux du malware.

Dans la foulée, appelez votre banque pour signaler la compromission et faire surveiller les mouvements. La fraude sur l'appareil imite un comportement légitime, donc seul un examen humain des transactions récentes permet de repérer l'anomalie.

Côté prévention, la règle d'or tient en une phrase : n'accordez l'accessibilité qu'aux applications dont vous pouvez justifier le besoin en une seule phrase, et gardez Play Protect actif. Aucun service client ni aucune banque légitime ne vous demandera jamais de l'activer par téléphone.

Gardez enfin votre système à jour. Les correctifs de sécurité mensuels d'Android colmatent en continu les failles exploitées par ce genre d'attaque, et un appareil à jour reste la barrière la plus rentable. Un principe qui vaut aussi contre les pièges plus subtils sans virus ni pièce jointe.

Sources principales

1. BleepingComputer – "ToxicPanda Android malware uses VPN permissions to block Google Play"
   ToxicPanda 2.0 détourne les permissions VPN pour bloquer Google Play, abuse du débogage sans fil (ADB) en récupérant le code d'appairage à six chiffres, et vise 349 applications via 167 commandes distantes. (bleepingcomputer.com)
2. Zimperium zLabs – "The ToxicPanda Never Sleeps: ToxicPanda 2.0 Prepares its Next Strike on Mobile"
   Rapport technique primaire : passage de 16 à 349 applications ciblées, 140+ applis visées par le vol de code PIN, 167 commandes distantes, charge chiffrée déployée après le blocage de Google Play, commande « autoBoot » visant Xiaomi, OPPO, Vivo, Samsung et Huawei. (zimperium.com)
3. SecurityWeek – "Banking Trojans Manic, Grandoreiro, ToxicPanda 2.0 in the Spotlight"
   ToxicPanda 2.0 vise 16 pays, dont le Pakistan, l'Afrique du Sud, le Mexique, le Nigeria, l'Inde, l'Indonésie et le Panama, et est distribué depuis des espaces de stockage Amazon AWS. (securityweek.com)
4. Infosecurity Magazine – "Updated ToxicPanda Variant Targets 140+ Banking and Crypto Apps"
   Distingue le module de vol de code PIN (140+ applis) de la superposition ciblant 349 institutions, et cite Bradley Smith, directeur adjoint de la sécurité chez BeyondTrust : « ToxicPanda 2.0 does not break Android, it operates Android. There is no patch for a feature working as designed. » (infosecurity-magazine.com)
5. Cleafy Labs – "ToxicPanda: a new banking trojan from Asia hit Europe and LATAM"
   Découverte en octobre 2024 : plus de 1 500 appareils infectés, répartis entre l'Italie (56,8 %), le Portugal (18,7 %), Hong Kong (4,6 %), l'Espagne (3,9 %) et le Pérou (3,4 %), pour 16 institutions bancaires visées. (cleafy.com)
6. Bitsight TRACE – "ToxicPanda Malware in 2025"
   Suivi de la campagne en 2025 : pic mesuré à 4 500 appareils infectés, bascule vers la péninsule Ibérique avec près de 3 000 appareils au Portugal et environ 1 000 en Espagne, soit plus de 85 % des infections observées. (bitsight.com)
7. ESET – "How To Remove Malware From Android Mobile Phones and Devices"
   Procédure de désinfection recommandée par l'éditeur de sécurité : démarrage en mode sans échec, désinstallation de l'application suspecte, puis désactivation des administrateurs de l'appareil douteux quand la suppression est bloquée. (eset.com)
8. Esper – "Android 13's New Sideloading Restriction Makes it Harder for Malware to Abuse Accessibility APIs"
   Depuis Android 13, les applications installées hors boutique ne peuvent plus activer le service d'accessibilité : le réglage est grisé et affiche « for your security, this setting is currently unavailable ». (esper.io)