En bref

  • ToxicPanda, malware Android bancaire, a considérablement évolué : il cible désormais 349 applications et dispose de 167 commandes distantes
  • Le malware se propage principalement via des stores alternatifs et des campagnes de phishing imitant des applications légitimes
  • Action requise : n'installer des applications qu'depuis le Google Play Store officiel, vérifier les permissions accordées aux apps bancaires, activer Google Play Protect

Les faits

ToxicPanda est un cheval de Troie bancaire Android qui avait été découvert et documenté pour la première fois fin 2024. Initialement ciblant une liste limitée d'applications financières européennes et latino-américaines, le malware a connu une évolution significative en 2026, avec un élargissement massif de ses capacités : il cible désormais 349 applications et dispose d'un ensemble de 167 commandes distantes, contre une trentaine lors de sa première détection.

D'après les analyses publiées par les chercheurs en sécurité, ToxicPanda appartient à la famille des Account Takeover (ATO) trojans — des malwares conçus pour prendre le contrôle des comptes bancaires mobiles en interceptant les codes de validation (OTP/2FA), en capturant les frappes au clavier, et en simulant des interactions utilisateur pour déclencher des virements frauduleux à l'insu de la victime. Cette catégorie de malware est particulièrement redoutable car elle opère entièrement sur l'appareil de la victime, contournant les protections anti-fraude côté serveur qui analysent l'adresse IP et la géolocalisation.

L'expansion à 349 applications cibles représente un saut qualitatif dans la portée du malware. Parmi les applications visées figurent des banques françaises, espagnoles, italiennes et portugaises, ainsi que des néobanques et des wallets de cryptomonnaies. L'ajout de 167 commandes distantes indique un développement actif par l'opérateur du malware : chaque nouvelle commande représente une capacité d'action supplémentaire sur le téléphone infecté.

Le vecteur d'infection principal reste la distribution via des stores d'applications tiers (APK téléchargés hors Google Play) et des campagnes de phishing sur SMS ou réseaux sociaux qui dirigent les victimes vers des pages imitant Google Play ou les sites officiels des applications bancaires. Les pages de téléchargement frauduleuses sont soigneusement conçues pour ressembler aux pages légitimes et incitent l'utilisateur à activer l'"installation depuis sources inconnues".

L'une des caractéristiques techniques de ToxicPanda est son utilisation abusive des services d'accessibilité Android (Accessibility Services). Ces services, conçus pour les utilisateurs ayant des handicaps visuels ou moteurs, permettent à une application d'observer l'écran, de simuler des clics, et de lire le contenu d'autres applications. Les trojans bancaires Android exploitent massivement ces permissions pour effectuer des virements en arrière-plan pendant que la victime pense utiliser son téléphone normalement.

Google Play Protect, le système de détection intégré d'Android, est censé détecter ce type de malware, mais son efficacité est limitée sur les APK installés hors du Play Store. Les versions évoluées de ToxicPanda intègrent des techniques d'obfuscation du code et de détection des émulateurs pour compliquer l'analyse par les équipes de recherche en sécurité.

Le profil des victimes est principalement celui d'utilisateurs qui téléchargent des applications depuis des sources non officielles, souvent attirés par de fausses promotions ("application bancaire premium gratuite", "cashback exclusif") ou par de prétendues mises à jour urgentes de leurs applications bancaires. La campagne de distribution intègre parfois du smishing (SMS de phishing) en plusieurs langues européennes, avec des messages rédigés correctement grâce à l'utilisation de modèles de langage pour éliminer les fautes révélatrices.

L'évolution de ToxicPanda s'inscrit dans une tendance plus large de professionnalisation des malwares bancaires Android en Europe. Des familles comme Grandoreiro, Cerberus, Anatsa ou SharkBot ont suivi des trajectoires similaires, avec des cycles de développement actifs, des mises à jour régulières, et une commercialisation sous forme de Malware-as-a-Service sur des forums cybercriminels. ToxicPanda semble suivre ce même modèle économique.

Impact et exposition

Sont exposés les utilisateurs d'appareils Android ayant installé des applications depuis des sources tierces, en particulier dans les pays d'Europe occidentale où les banques ciblées sont présentes (France, Espagne, Italie, Portugal). Les utilisateurs d'iPhone sont protégés par la politique d'App Store fermé d'Apple, qui rend ce type d'infection beaucoup plus difficile. Les appareils Android avec Google Play Protect activé et sans installation depuis sources inconnues présentent un risque significativement réduit.

Recommandations

  • N'installer des applications bancaires qu'depuis le Google Play Store officiel — désactiver définitivement l'option "Installation depuis sources inconnues" dans les paramètres Android
  • Vérifier les permissions accordées à chaque application — une application bancaire légitime ne demande jamais l'accès aux Services d'accessibilité
  • Activer Google Play Protect et maintenir Android à jour (paramètres > sécurité > Google Play Protect)
  • Ne jamais cliquer sur un lien SMS ou WhatsApp promettant une mise à jour de votre application bancaire — accéder directement au Play Store
  • Contacter immédiatement votre banque si vous avez installé une application depuis une source inconnue et observez des transactions non autorisées

Comment savoir si mon téléphone Android est infecté par ToxicPanda ?

Plusieurs signes peuvent indiquer une infection : consommation anormalement élevée de la batterie ou de la data en arrière-plan, applications inconnues dans la liste des apps avec accès aux Services d'accessibilité (paramètres > accessibilité > applications installées), transactions bancaires que vous n'avez pas initiées. Si vous suspectez une infection, ne désinstallez pas vous-même le malware (il peut résister à la désinstallation classique) : faites une réinitialisation d'usine complète après avoir sauvegardé vos données importantes sur un PC.

Votre organisation gère des appareils mobiles d'entreprise ?

Ayi NEDJIMI réalise des audits de sécurité mobile (MDM, MAM, politique BYOD) pour sécuriser l'accès aux ressources critiques depuis les terminaux Android et iOS de vos collaborateurs.

Demander un audit