Midnight Mimosa: malware w tanich Androidach

Tanie smartfony z Androidem z zaskakującym dodatkiem

Bitdefender opisał kampanię malware nazwaną Midnight Mimosa, która dotyczy niektórych tanich smartfonów z Androidem opartych na układach MediaTek. Najpoważniejszy problem polega na tym, że złośliwy kod nie trafia na urządzenie dopiero po instalacji aplikacji przez użytkownika — on jest już wgrany do firmware'u jeszcze przed pierwszym uruchomieniem telefonu.

To oznacza, że kupujący dostaje sprzęt z kompromitacją na starcie. W praktyce użytkownik nie ma prostego sposobu, by taką infekcję usunąć samodzielnie.

Co potrafi Midnight Mimosa

Z analizy wynika, że malware działa z uprawnieniami na poziomie systemu Android. Dzięki temu może:

• instalować i usuwać aplikacje bez wiedzy właściciela,
• przyznawać uprawnienia innym komponentom,
• pobierać i uruchamiać kod zdalnie,
• wyłączać Google Play Store,
• uruchamiać w tle aplikacje służące do reklamowego i klikowego oszustwa,
• wykorzystywać zainfekowane urządzenia jako residential proxy.

W efekcie telefon może stać się elementem większej infrastruktury przestępczej, a użytkownik nie ma nad tym kontroli.

Nie tylko pojedyncze modele

Badacze wskazali, że problem dotyczy różnych tanich urządzeń sprzedawanych pod markami imitującymi znanych producentów, ale także niektórych modeli rzeczywistych marek z segmentu budżetowego. Wśród urządzeń, na których wykryto złośliwe pakiety, pojawiały się nazwy takie jak Doogee, Cubot oraz podróbki w stylu Galaxy S25 Ultra.

Według ustaleń kampania ma zasięg międzynarodowy. Na liście krajów, w których odnotowano urządzenia powiązane z Midnight Mimosa, znalazły się m.in. Meksyk, Francja, Włochy, Stany Zjednoczone, Niemcy, Brazylia i Hiszpania. Z tych informacji wynika, że zagrożenie nie ogranicza się do jednego rynku.

Po co twórcom taka operacja

Analiza wskazuje, że głównym celem ataku jest zarabianie pieniędzy. Operatorzy mogą wykorzystywać przejęte telefony do:

• generowania sztucznego ruchu reklamowego,
• klikania w reklamy,
• zbierania informacji o urządzeniu i zainstalowanych aplikacjach,
• budowy botnetów,
• oferowania infrastruktury proxy innym przestępcom.

To klasyczny przykład, w którym niska cena sprzętu może oznaczać dużo poważniejszy koszt bezpieczeństwa.

Na co uważać przy zakupie

Cała sprawa pokazuje, że przy tanich smartfonach warto zachować szczególną ostrożność, zwłaszcza gdy urządzenie pochodzi z niepewnego źródła albo jest kopią popularnego modelu. Jeśli telefon ma podejrzanie niską cenę i nieznaną historię dystrybucji, ryzyko kompromitacji może istnieć jeszcze zanim urządzenie trafi do użytkownika.

W przypadku Midnight Mimosa problem jest właśnie tak groźny: malware siedzi głęboko w firmware, więc zwykłe usunięcie aplikacji nic nie daje. Dla właściciela oznacza to realne zagrożenie prywatności, a w skrajnym przypadku także wykorzystanie telefonu w działaniach przestępczych.