Midnight Mimosa: malware nel firmware di smartphone Android economici, usati come proxy

• Malware preinstallato nel firmware di telefoni Android low-cost su piattaforme MediaTek
• Installa app a distanza, fa ad fraud e crea residential proxy; migliaia di dispositivi in 150+ paesi
• Italia tra i primi paesi colpiti; non si rimuove con la normale disinstallazione
• Serve pulizia del firmware o disattivazione via ADB; 13 app su Google Play collegate, ora rimosse

Alcuni smartphone Android a basso costo vengono venduti con un malware inserito direttamente nel firmware. Lo ha scoperto Bitdefender, che traccia l’attività con il nome Midnight Mimosa. Il codice permette ai criminali di installare app all’insaputa dell’utente, condurre frodi pubblicitarie e trasformare i dispositivi in residential proxy. Sono colpiti telefoni basati su piattaforme MediaTek, di diversi marchi.

Come funziona

Il componente preinstallato (com.android.system.lite) gira con privilegi di sistema. Può installare o rimuovere una serie variabile di almeno 32 app camuffate. Può inoltre concedersi permessi aggiuntivi su accessibilità, notifiche e SMS e caricare codice arbitrario fornito dagli operatori.

Il malware scarica una configurazione da un server esterno e poi esegue ulteriori payload. Questi servono a condurre ad fraud e a installare o rimuovere in modo silenzioso app “partner”, dotate di proxyware, funzioni di frode pubblicitaria ed esecuzione di codice. Può anche concedere permessi a qualsiasi pacchetto Android.

Secondo Bitdefender, lo schema punta soprattutto al guadagno. Gli operatori fanno ad fraud e click fraud, raccolgono informazioni sul dispositivo e sulle app installate e usano i telefoni come nodi di relay di residential proxy, cioè come “zombie” di botnet.

Le app su Google Play

Il malware di sistema non genera direttamente i click fraudolenti. La monetizzazione è affidata a dropper che si fingono utility innocue. Caricano annunci reali tramite un SDK pubblicitario legittimo e aprono una finestra invisibile sopra le altre app, che registra gli annunci mostrati.

Bitdefender ha trovato 13 app su Google Play che comunicano con gli stessi server di controllo. La campagna quindi non si limita al firmware. Queste app offrono funzioni reali, come meteo o scansione di QR code, ma mostrano pubblicità anche fuori dall’app e a telefono inutilizzato. Al momento non risultano più scaricabili dallo store. Tra quelle citate: Wavrge, App Icon DIY, Audify, All Deleted Messages Recovery, WeatherGo, CoolWeather, Daily Weather, Lock & Hide, QuickText Extractor, NoteMaster, Tap to Translate.

Prima di installare un payload, il malware disattiva l’app Google Play Store, probabilmente per aggirare Play Protect, e la riattiva a operazione conclusa.

Diffusione e origine

Il malware è stato rilevato su dispositivi con firmware firmato con certificati attribuiti a Shenzhen Zediel Co., Ltd, produttore cinese. Non è chiaro se l’azienda fosse coinvolta o consapevole. Bitdefender ha visto anche altri nomi di società nel corso dell’indagine.

La presenza nel firmware indica una compromissione della supply chain dei dispositivi. Ci sono sovrapposizioni di infrastruttura con Android.Phantom, descritto da Doctor Web a gennaio 2026. Il maggior numero di dispositivi infetti è in Messico, seguito da Francia, Italia, Stati Uniti, Germania, Brasile, Spagna, Regno Unito, Canada, Romania, Polonia e Thailandia. In circa due anni sono stati osservati migliaia di dispositivi unici in oltre 150 paesi. Molti sono telefoni white-label o contraffatti, alcuni con nomi che imitano i Samsung Galaxy e gli iPhone.

Non è il primo caso: a fine 2025 Kaspersky aveva descritto Keenadu, un altro malware preinstallato su alcuni tablet Android, usato soprattutto per ad fraud.

Rimedi

Per Bitdefender il malware preinstallato è una classe di minaccia diversa: le difese presuppongono che l’utente intervenga all’installazione, ma qui non è così. Il componente risiede nella partizione di sistema, quindi non si rimuove con la normale disinstallazione. Servono una pulizia a livello di firmware o la disattivazione via ADB, soluzioni poco realistiche per la maggior parte dei proprietari. Secondo la società, la soluzione duratura spetta a produttori e marketplace che distribuiscono e vendono quel firmware.

Indicatori di compromissione (IoC)

com.android.system[.]lite
com.audify.editor[.]wavrge
appicon.diy.tools[.]prop
com.audify.editor[.]pro
com.message.recovery[.]prorestore
com.go.weather[.]mot
com.cool.weather[.]yl
com.dmstudio[.]weather
com.dl.guard[.]lock
picturetranslate.extractor.text[.]lite
com.notemaster.record[.]mark
com.arabmusic.tap.aghani_tamerhosny

Fonte: The Hacker News · Foto: The Hacker News