Midnight Mimosa: telefoane Android livrate cu malware direct în firmware

Majoritatea sfaturilor de securitate mobilă pornesc de la ideea că pericolul apare după ce scoți telefonul din cutie — o aplicație rău intenționată, un link de phishing, o descărcare dubioasă. Campania Midnight Mimosa sare peste acest pas. Mii de dispozitive Android ieftine, observate în peste 150 de țări, au fost găsite cu o componentă malițioasă integrată în firmware înainte să ajungă la cumpărător.

Ce s-a întâmplat

Cercetătorii Bitdefender au urmărit mii de dispozitive infectate pe parcursul a aproximativ doi ani, iar PolySwarm a extins analiza într-un raport publicat pe 19 octombrie 2026. Cele mai multe infecții au fost observate în Mexic, Franța și Italia, urmate de Statele Unite, Germania, Brazilia și Spania. Cifrele arată unde au fost văzute infecțiile, nu dovedesc o țintire geografică intenționată.

Problema pornește de la o aplicație de sistem privilegiată, semnată cu un certificat de platformă Android. Această semnătură îi dă același statut ca componentelor de bază ale sistemului: poate instala și dezinstala pachete, poate acorda permisiuni și poate modifica setări protejate fără ca utilizatorul să facă ceva.

Pe scurt, lanțul arată așa:

Loader ascuns. Logica principală stă într-o bibliotecă nativă care folosește RC4 pentru a decripta, la rulare, un framework Java ascuns.
Plugin-uri descărcate de la distanță. Framework-ul contactează servere de comandă și control, primește configurări și descarcă module DEX/JAR — operatorii pot schimba comportamentul malware-ului fără să modifice aplicația de sistem originală.
Fraudă publicitară și instalări silențioase. Plugin-urile observate generează afișări, click-uri și conversii false prin ferestre ascunse și instalează discret alte aplicații. Aplicațiile vizibile par banale: aplicații meteo, blocare de aplicații, scanere de text, manageri de fișiere. Au fost identificate cel puțin 32 de aplicații deghizate în rețeaua mai largă de payload-uri.
Ocolirea Play Protect. Înainte să instaleze payload-uri suplimentare, componenta dezactivează temporar pachetul Google Play Store, apoi îl reactivează — o încercare evaluată ca evitare a scanării Play Protect în acel interval, nu o dovadă că protecțiile rămân oprite. Unele payload-uri declară fals Google Play drept sursă de instalare, deși nu au blocul de semnătură specific distribuției prin Play.
Capabilitate de proxy. Un payload poate înregistra dispozitivul și deschide tuneluri TCP bidirecționale, prin care trafic străin ar putea trece prin conexiunea victimei. Capabilitatea a fost confirmată, dar retransmiterea efectivă a traficului nu a fost observată în timpul testelor, iar un endpoint de control raportat inițial s-a dovedit a fi un sinkhole.

Componenta conține și funcții legate de permisiunile Accessibility, Notification Access și SMS, inclusiv metode de a activa automat accesul sensibil. Cercetătorii nu au văzut aceste permisiuni folosite pentru furt de date — dar, pentru că framework-ul poate descărca oricând cod nou, modulele de fraudă publicitară de azi nu spun mare lucru despre ce ar putea face mâine.

Separat, 13 aplicații de fraudă publicitară din Google Play au avut markeri și infrastructură comune cu campania, însă fără privilegiile de la nivel de firmware.

Cine este afectat — și ce nu se știe încă

Printre dispozitivele afectate se numără telefoane ieftine bazate pe MediaTek, contrafaceri ale unor modele „flagship” și dispozitive care raportează identificatori asociați produselor Doogee și Cubot. Unele certificate de firmware făceau referire la Shenzhen Zediel, dar cercetătorii nu au putut stabili unde a intrat malware-ul în lanțul de aprovizionare și nici că deținătorul certificatului a participat în cunoștință de cauză. Legăturile cu familiile Joker, Phantom și Click nu dovedesc nici ele un operator comun. Atribuirea rămâne deschisă.

De ce contează

Este o problemă de lanț de aprovizionare, nu de comportament al utilizatorului. Verificările din magazinul de aplicații și regula „instalează doar aplicații de încredere” nu ajută când codul malițios vine odată cu sistemul de operare. Dezinstalarea unei aplicații suspecte poate doar să-i permită componentei din firmware să instaleze un înlocuitor. Iar capabilitatea de proxy transformă un telefon ieftin într-un posibil punct de ieșire pentru traficul altcuiva — în rețeaua de acasă sau în Wi-Fi-ul companiei.

Ce poți face

Știi ce ai în rețea. Inventariază dispozitivele Android care accesează resursele companiei, inclusiv cele personale (BYOD). Marchează modelele fără nume, contrafăcute sau neobișnuit de ieftine și ține-le departe de segmentele sensibile.
Cumpără din surse responsabile. Alege dispozitive de la producători cu firmware semnat și actualizat regulat, vândute prin canale autorizate.
Caută indicatorii. Verifică prezența pachetului com.android.system.lite (componenta din firmware), com.mobile.applock.en (payload cu funcție de proxy), a bibliotecii native libeasy.so și a claselor de plugin com.wz.sdk.DxFactory, com.earnsdk.lib.DxFactory și com.gogo.third.lib.DxFactory. La nivel de rețea, urmărește în logurile DNS și proxy domeniile api.weatherlive[.]world și oss.showtimetool[.]com.
Urmărește comportamentul de proxy. Sesiunile TCP de ieșire lungi și neașteptate de pe dispozitive mobile merită investigate.
Remediază la nivel de firmware. Pe un dispozitiv infectat, ștergerea aplicațiilor nu ajunge. Reinstalează firmware curat de la producător, acolo unde există — altfel, scoate dispozitivul din uz.
Folosește controale MDM. Impune atestarea dispozitivelor și niveluri minime de patch și setează alerte pentru dispozitivele care raportează o sursă de instalare neașteptată sau modificări ale aplicațiilor de sistem.

Capabilitățile ascunse în componente terțe și în lanțul de aprovizionare sunt exact ce caută echipa noastră de Bug Hunting: cercetare bazată pe ipoteze asupra expunerii tale mobile și din lanțul de aprovizionare, cu fiecare constatare validată de un analist înainte să ajungă la tine.

Material realizat de echipa 4Tify, pe baza unui articol Cyber Security News și a cercetărilor Bitdefender și PolySwarm.