Trojan ToxicPanda sur Android 📱, des serveurs FTP cachent des trojans 🖥️, 84 000 étudiants visés par un phishing 🎓
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 24 août 2026 !
Un malware Android tirant parti des permissions VPN pour isoler l'appareil avant de voler ses codes PIN, des serveurs FTP détournant leur propre bannière d'accueil pour livrer des trojans, et un faux appel à paiement ciblant l'ensemble des étudiants d'une université : l'actualité du jour montre à quel point les attaquants perfectionnent leurs vecteurs pour tromper nos défenses habituelles.
Retrouve les trois articles à la une du jour :
- ToxicPanda monte en puissance sur Android : blocage de Google Play, débogage sans fil et vol de codes PIN
- Une technique d'infection inédite dissimule des charges PowerShell dans les bannières d'accueil de serveurs FTP
- Aix-Marseille Université ciblée par une vaste campagne de phishing réclamant de faux frais de scolarité à 84 000 étudiants
ToxicPanda se dote de commandes de contrôle réseau avancées
Zimperium a analysé une nouvelle variante du malware Android ToxicPanda capable d'exploiter les permissions VPN pour bloquer les communications avec Google Play avant d'injecter son payload. Le malware cible désormais 349 applications bancaires, financières et cryptographiques, supporte 167 commandes distantes et est distribué via des buckets Amazon AWS.
La menace automatise également l'accès au Android Debug Bridge pour obtenir des permissions shell et contourner les restrictions de sécurité du système. Elle usurpe l'écran de verrouillage pour capturer les codes PIN et les schémas de déverrouillage, tandis qu'une commande dédiée, autoBoot, contourne les protections de consommation batterie sur Xiaomi, OPPO, Vivo, Samsung et Huawei en activant les paramètres OEM d'auto-démarrage.
Points d'attention
- L'exploitation du wireless ADB via les permissions Accessibility Services contourne les invites d'autorisation standard en activant le Developer Options et le débogage sans fil par voie logicielle, sans interaction utilisateur détectable.
- Zimperium recense 140 applications financières et cryptographiques dans le module de moissonnage PIN, avec capacité de mise à jour dynamique de la liste cible indiquant une maintenance active de la menace.
- Le wireless ADB s'impose comme technique croissante au sein du malware Android : RedHook en déploie également une variante, signalant une tendance consolidée chez les acteurs malveillants.
Des trojans livrés via des bannières FTP détournées
MalwareHunterTeam a détecté en juillet une technique inédite où des acteurs malveillants cachent des commandes dans les bannières de serveurs FTP pour distribuer deux trojans d'accès à distance baptisés E4del et PINHOLE. L'infection débute par des archives ZIP contenant des fichiers raccourcis .LNK, exploitant probablement le phishing comme vecteur initial.
E4del, basé sur Node.js et déguisé en application Discord signée numériquement, supporte l'exécution de commandes, la capture d'écran et le streaming de bureau. PINHOLE, plus discret, récupère sa configuration depuis Pinterest et SurveyMonkey, injecte son code dans des processus suspendus et dispose de 14 commandes incluant l'énumération de fichiers et le vol d'identifiants de navigateur.
Points d'attention
- Les bannières FTP livrent des PowerShell via leur message d'accueil initial, contournant ainsi les canaux C2 traditionnels, mais cette approche laisse des traces réseau moins dissimulées que les services web légitime.
- Le module Node.js nommé crypto32.node tente une escalade de privilèges, mais les chercheurs n'ont pas pu le récupérer pour analyse approfondie.
- PINHOLE n'affichait que 11 exécutions au moment de l'analyse, indiquant une campagne en phase précoce plutôt qu'une exploitation massive établie.
Campagne d'hameçonnage visant 84 000 étudiants d'Aix-Marseille
Une vague de messages frauduleux réclamant 450 euros de frais de scolarité a ciblé l'ensemble de la population étudiante d'Aix-Marseille Université en août 2026. L'opération réutilise un scénario similaire déjà observé en juillet contre l'Université Bretagne Sud, qui demandait alors 350 euros.
Les emails usurpent l'identité institutionnelle avec logo officiel, vocabulaire administratif crédible et mentions des périodes de vacances du personnel. L'université confirme que ces messages proviennent d'adresses externes et non d'une compromission interne, confirmant ainsi une pure usurpation d'identité menée par des fraudeurs externes.
Points d'attention
- La campagne de juillet visant Bretagne Sud à 350 euros a été recyclée rapidement : même mécanique, établissement différent, montant augmenté à 450 euros, adaptation graphique pour renforcer la crédibilité institutionnelle.
- Une faute grammaticale volontaire ("la frais administratif") figure dans certaines versions et agit comme filtre : les destinataires ne la détectant pas sont potentiellement moins vigilants aux autres signaux d'alerte.
- La diffusion à la totalité des 84 000 étudiants soulève une interrogation : les fraudeurs auraient pu, a minima, avoir eu accès à un annuaire interne, ce qui dépasserait le simple phishing de masse.
Autres actus importantes
- Vulnérabilité critique dans isolated-vm entraînant une exécution de code à distance sur l'hôte
- Apollo révèle une fuite de données liée à une vague d'attaques ciblant le secteur financier
- L'Hôpital pour enfants malades du Canada de nouveau attaqué par des cybercriminels, des données d'employés volées
- Multiples vulnérabilités dans le noyau Linux de SUSE (21 août 2026)
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere