ToxicPanda 2.0 : 167 commandes pour vider 349 apps bancaires

Un arsenal de 167 commandes pour vider les comptes bancaires

Le 19 août 2026, les chercheurs de Zimperium zLabs ont publié une analyse détaillée de ToxicPanda 2.0, une évolution significative du cheval de Troie bancaire Android qui alarmait déjà les experts depuis sa découverte initiale en 2024. Cette nouvelle mouture ne constitue pas une simple mise à jour : elle représente une refonte en profondeur des capacités offensives du malware, avec des implications directes pour des centaines de millions d'utilisateurs mobiles à travers le monde.

Le point le plus frappant de cette analyse est l'expansion spectaculaire du répertoire de commandes distantes. Là où les versions précédentes combinaient 61 commandes héritées de TgToxic et 33 nouvelles instructions, ToxicPanda 2.0 dispose désormais de 167 commandes distinctes, permettant aux opérateurs de prendre un contrôle quasi-total sur l'appareil compromis. Ces commandes couvrent un spectre très large d'actions : capture d'écran en temps réel, enregistrement de frappes clavier, interception des SMS, contrôle du microphone, navigation forcée dans les interfaces applicatives, et bien davantage selon le rapport de Zimperium.

La liste des applications ciblées a également explosé. Là où les versions antérieures visaient une centaine d'applications bancaires principalement en Europe et en Amérique latine, ToxicPanda 2.0 cible désormais 349 applications couvrant les secteurs bancaire, financier, e-wallet et crypto-monnaies. Parmi les pays visés figurent la France, l'Italie, l'Espagne, le Portugal, le Royaume-Uni, l'Allemagne, les États-Unis, le Canada, l'Australie, mais aussi des marchés émergents comme le Brésil, le Mexique, l'Inde, Singapour, la Corée du Sud et le Japon, soit 16 pays au total.

Le mécanisme de vol de données a été profondément revu. ToxicPanda 2.0 exploite massivement le service d'accessibilité d'Android (Android Accessibility Service) pour capturer chaque élément de l'interface utilisateur visible à l'écran. Cette technique lui permet de lire les contenus affichés par les applications bancaires sans nécessiter de permission d'accès direct à ces applications. En parallèle, un mécanisme superposé (overlay) déploie de faux écrans de connexion reproduisant fidèlement l'interface des applications ciblées pour capturer les identifiants à la source.

La nouveauté la plus préoccupante est l'ajout d'un module dédié au vol de PIN. Ce composant cible spécifiquement les codes d'accès aux applications bancaires et aux portefeuilles crypto, en combinant l'abus de l'accessibilité Android avec une surveillance en temps réel des interactions de l'utilisateur sur l'écran de verrouillage. Selon Zimperium, ce module permet de compromettre plus de 140 applications bancaires et crypto distinctement identifiées, en capturant les codes au moment même de leur saisie.

Le pilotage à distance s'appuie sur l'Android Debug Bridge (ADB), un outil de débogage légitime intégré au système Android. En automatisant l'abus d'ADB, les opérateurs peuvent simuler des interactions utilisateur — taps, swipes, saisies de texte — sans déclencher les mécanismes de détection traditionnels basés sur l'analyse du comportement applicatif. Cette technique de fraude sur l'appareil (on-device fraud, ODF) contourne efficacement les systèmes de détection d'anomalies qui reposent sur l'analyse du comportement réseau ou des sessions distantes.

L'infrastructure de commandement et contrôle (C2) de ToxicPanda 2.0 a également été renforcée. Les analystes de Zimperium notent une amélioration significative des capacités d'anti-analyse et d'obfuscation du code, rendant le malware plus résistant à la rétro-ingénierie. Le malware utilise des canaux de communication chiffrés et des domaines C2 rotatifs pour éviter le blocage par les solutions de sécurité réseau.

La publication de Zimperium zLabs intervient dans un contexte où un autre cheval de Troie bancaire Android, GoldDigger, étend simultanément ses opérations selon les mêmes chercheurs. Cette convergence de menaces mobiles sophistiquées, ciblant à la fois les marchés occidentaux et asiatiques, illustre la professionnalisation croissante de l'écosystème cybercriminel spécialisé dans la fraude financière mobile. Les pertes mondiales liées aux fraudes bancaires sur mobile ont atteint des centaines de milliards de dollars en 2025, un chiffre que l'apparition de ToxicPanda 2.0 risque d'aggraver significativement dans les mois à venir.

La montée en puissance irréversible des trojans bancaires mobiles

L'émergence de ToxicPanda 2.0 s'inscrit dans une tendance de fond qui préoccupe profondément les équipes de sécurité depuis plusieurs années : la migration des cybercriminels spécialisés dans la fraude financière vers les plateformes mobiles. Cette transition n'est pas accidentelle. Elle répond à la réalité du marché : les banques ont massivement renforcé les protections de leurs interfaces web, forçant les attaquants à se repositionner vers le maillon le plus faible de la chaîne, à savoir le terminal mobile de l'utilisateur final.

La lignée TgToxic-ToxicPanda illustre parfaitement cette évolution. Apparu en 2022 dans le paysage des menaces ciblant l'Asie du Sud-Est, TgToxic s'est progressivement internationalisé avant d'être rebaptisé ToxicPanda lors de sa détection en Europe et en Amérique latine en 2024. Chaque itération a apporté son lot d'améliorations techniques, mais le bond qualitatif représenté par la version 2.0 — avec son triplement du nombre de commandes et son quasi-doublement des applications ciblées — suggère une organisation criminelle disposant de ressources et de compétences techniques substantielles, vraisemblablement établie en Asie de l'Est selon les indicateurs techniques relevés par Zimperium.

Pour les entreprises, les implications sont directes. Si ToxicPanda cible avant tout les particuliers, les dirigeants et employés qui utilisent des applications de mobile banking professionnel sur leurs smartphones personnels représentent des cibles particulièrement attractives. Une compromission de leurs identifiants bancaires peut ouvrir la voie à des fraudes sur des comptes d'entreprise, des virements non autorisés, ou servir de point d'entrée pour des attaques plus larges. Les politiques BYOD (Bring Your Own Device) non encadrées amplifient considérablement ce risque et devraient être revisitées à la lumière de cette menace.

L'aspect le plus inquiétant de l'évolution de ToxicPanda 2.0 est son modèle de distribution. Comme ses prédécesseurs, il se propage essentiellement via des applications malveillantes distribuées hors des stores officiels (sideloading), mais aussi via des campagnes de phishing SMS (smishing) de plus en plus sophistiquées. La barrière technique pour les victimes potentielles est faible : quelques clics suffisent à compromettre un appareil. Les solutions de protection contre les menaces mobiles (Mobile Threat Defense, MTD) et les politiques de gestion des appareils mobiles (MDM/UEM) constituent les défenses les plus efficaces à déployer en priorité dans les organisations gérant un parc de terminaux mobiles.

Ce qu'il faut retenir

• ToxicPanda 2.0 dispose de 167 commandes distantes et cible 349 applications financières dans 16 pays — un saut qualitatif majeur par rapport aux versions précédentes.
• L'abus de l'Android Accessibility Service et de l'ADB permet une fraude on-device contournant les détections réseau traditionnelles des banques.
• Déployer des solutions MTD sur les terminaux mobiles professionnels et interdire l'installation d'applications hors des stores officiels sont les mesures prioritaires à mettre en place immédiatement.