Midnight Mimosa: malware Android care vine direct în telefon

Unele telefoane Android ieftine sunt compromise înainte să fie scoase din cutie. Cercetătorii Bitdefender au documentat Midnight Mimosa, o familie de malware integrată în firmware-ul unor dispozitive Android low-cost bazate pe cipuri MediaTek. Nu e nevoie de nicio descărcare malițioasă, de un link de phishing sau de vreo cerere de permisiuni. Infecția face deja parte din imaginea de sistem când telefonul este vândut.

Ce s-a întâmplat

Conform analizei Bitdefender (publicată pe 8 octombrie și actualizată pe 9 octombrie 2026), campania a ajuns la mii de dispozitive din peste 150 de țări, pe parcursul a aproximativ doi ani de observație. Cea mai mare activitate apare în Mexic, Franța și Italia, urmate de SUA, Germania, Brazilia și Spania. Cifrele reflectă telemetria Bitdefender, nu un total global.

Pe scurt, ce arată cercetarea:

Se prezintă ca o aplicație de sistem. Nucleul este o componentă numită simplu „System” (com.android.system.lite). Este semnată cu un certificat de platformă și rulează ca utilizator de sistem Android, deci poate instala pachete și acorda permisiuni fără ca utilizatorul să afle. Nu poate fi eliminată din meniul obișnuit de dezinstalare.
Comportamentul real vine ulterior. O bibliotecă nativă (libeasy.so) decriptează un framework ascuns, care descarcă apoi module DEX/JAR suplimentare. Unele module sunt deghizate în fișiere .png sau fișiere obiect. Din acest motiv, APK-ul livrat spune prea puțin despre ce va face de fapt dispozitivul odată ce e folosit.
Banii vin din fraudă publicitară și proxyware. Bitdefender a numărat cel puțin 32 de aplicații-paravan (meteo, blocare aplicații, manager de fișiere, scanare text). Firmware-ul le instalează și le șterge prin rotație, iar ele generează afișări și clicuri ascunse pe reclame, sincronizate ca să pară umane. Un alt payload, deghizat în aplicație de blocare, poate transforma telefonul într-un proxy rezidențial. Bitdefender nu a observat însă trafic redirecționat în propriul test.
Ocolește protecțiile Google Play. Malware-ul dezactivează temporar Magazinul Play, aparent ca să evite Play Protect, și îl repornește când utilizatorul folosește telefonul. Unele mostre declară fals Google Play drept sursă de instalare. Același cod de fraudă publicitară a apărut și în 13 aplicații din Google Play, fără privilegii de sistem.
Poate face mai mult. Componenta cere acces la Accesibilitate, notificări și SMS. Cercetătorii nu au observat folosirea acestor permisiuni pentru furt de date. Combinate cu încărcarea de cod de la distanță, ele le-ar permite însă operatorilor să extindă campania mult dincolo de frauda publicitară.

De ce contează

Midnight Mimosa mută riscul dinspre comportamentul utilizatorului spre lanțul de aprovizionare al dispozitivelor. Atenția utilizatorului și verificările din magazinele de aplicații nu ajută când amenințarea este o componentă de sistem de încredere, venită odată cu dispozitivul. Unele unități afectate poartă nume false de modele „flagship”, așa că e greu de știut ce hardware este de fapt folosit sau cine l-a produs.

Atribuirea rămâne deschisă. O parte din firmware-ul afectat folosește certificate pe numele unui producător din Shenzhen, însă Bitdefender nu a stabilit că firma a creat, aprobat sau distribuit cu bună știință malware-ul. Nu se știe încă unde a intrat codul în lanțul de aprovizionare. Bitdefender a corectat și o constatare de rețea: o adresă descrisă inițial ca infrastructură de comandă pentru proxy este de fapt un sinkhole, nu infrastructură confirmată a atacatorilor.

Ce trebuie făcut

Inventariați telefoanele. Listați dispozitivele Android care accesează e-mailul, VPN-ul sau aplicațiile SaaS ale companiei și marcați telefoanele fără marcă, de pe piața gri sau „flagship-urile” suspect de ieftine.
Stabiliți un standard hardware. Acceptați doar dispozitive de la producători cunoscuți pentru firmware semnat și actualizări de securitate regulate, ideal modele Android Enterprise Recommended. Impuneți regula prin MDM.
Căutați indicatorii publicați. Încărcați IoC-urile Bitdefender (nume de pachete, hash-uri MD5, domenii) în SIEM, în filtrarea DNS și în soluția de mobile threat defence. Tratați adresa de tip sinkhole ca atare, nu ca infrastructură a atacatorilor.
Urmăriți comportamentul. Fiți atenți la aplicații care apar și dispar singure, la Magazinul Play dezactivat fără motiv și la consum neexplicat de date sau baterie.
Reinstalați firmware-ul, nu dezinstalați. La o infecție confirmată, eliminarea obișnuită nu funcționează. Reinstalați firmware curat de la producător sau scoateți dispozitivul din uz, apoi schimbați credențialele stocate pe el.
Includeți telefoanele în achiziții. Tratați telefoanele ca pe orice dependență din lanțul de aprovizionare: cumpărați din canale autorizate și includeți integritatea firmware-ului în evaluarea furnizorilor.

Credit: acest rezumat se bazează pe cercetarea originală realizată de Bitdefender, conform relatării Cyber Security News.