Midnight Mimosa: proxy e frodi nel firmware di Android economici

Bitdefender ha pubblicato l’analisi di Midnight Mimosa, una campagna malware che non chiede all’utente di installare niente: il codice malevolo è già nel firmware di smartphone Android economici basati su chip MediaTek, nella partizione di sistema, quando il telefono esce dalla scatola. I dispositivi colpiti vengono usati per frodi pubblicitarie e possono diventare proxy residenziali controllati a distanza.

La notizia è stata ripresa da BleepingComputer, SecurityWeek e Cybersecurity360. Tutte e tre si basano sul rapporto di Bitdefender; BleepingComputer aggiunge le segnalazioni degli utenti del forum XDA.

Cosa è successo

Secondo Bitdefender, in circa due anni il malware è comparso su migliaia di dispositivi in oltre 150 paesi. I rilevamenti più numerosi sono in Messico, Francia e Italia, seguite da Stati Uniti, Germania, Brasile e Spagna; SecurityWeek sottolinea che, per aree, spiccano l’Europa occidentale e le Americhe.

Tra i modelli citati da BleepingComputer ci sono Doogee S200 X e Cubot KINGKONG X, oltre a telefoni che imitano prodotti Samsung e Apple. Sul forum XDA un utente di un Doogee Fire 3 Max riferisce che il malware è arrivato con un aggiornamento ufficiale del firmware, è sparito tornando alla versione precedente ed è ricomparso con l’aggiornamento. Per alcuni utenti, aggiornamenti successivi dei produttori hanno risolto il problema, ma i produttori non hanno spiegato come il codice sia finito nel firmware.

Non si sa chi abbia modificato il firmware né in quale punto della catena di fornitura: Cybersecurity360 cita come ipotesi un produttore ODM, un integratore del firmware o un intermediario logistico. Bitdefender ha trovato firmware firmati con certificati riconducibili a Shenzhen Zediel, precisando che questo non dimostra un coinvolgimento dell’azienda.

Dettagli tecnici

Il componente di sistema. Il nucleo è un’app di sistema firmata a livello di piattaforma, che si fa passare per un pacchetto Android legittimo: com.android.system.lite, poi osservata anche come com.android.sys.prot e com.android.sys.gmsprot (e, secondo Cybersecurity360, com.android.sys.bcprot). Con i privilegi di sistema installa e rimuove app, concede permessi ed esegue codice scaricato dal server di comando e controllo, senza interazione dell’utente. Non si può disinstallare con la procedura normale. Bitdefender collega alla stessa famiglia anche il pacchetto com.android.non.szcz segnalato su XDA.

I moduli. Dal C2 arrivano circa 32 app camuffate da meteo, file manager, blocco app, OCR ed editor audio. Secondo Cybersecurity360 i payload cambiano nel tempo, così restano poco sul dispositivo.

Elusione dei controlli. Prima di installare un payload, il malware disattiva temporaneamente il Play Store (com.android.vending), così Google Play Protect resta spento durante l’installazione, e poi lo riattiva. Secondo BleepingComputer, alcune varianti falsificano anche l’installatore registrato, perché le app sembrino scaricate da Google Play.

Frode pubblicitaria. I clic non li genera l’app di sistema ma le app di copertura: caricano annunci veri tramite un SDK pubblicitario legittimo, li mostrano in finestre invisibili sopra le altre app o li cliccano in automatico, anche a telefono inattivo.

Proxy residenziale. Un’app camuffata da blocco app, com.mobile.applock.en, contiene un proxy TCP che registra il dispositivo presso un server remoto e riceve l’ordine di collegarsi a host indicati e inoltrare traffico. L’operatore può così far uscire il proprio traffico dalla connessione della vittima o raggiungere i dispositivi accessibili dal telefono. Bitdefender ha verificato che l’infrastruttura accettava registrazioni, ma il suo dispositivo di prova non ha ricevuto destinazioni: l’inoltro effettivo non è confermato. Solo Cybersecurity360 cita un possibile uso per attacchi DDoS.

Anche su Google Play. Bitdefender ha trovato 13 app su Google Play con lo stesso codice di frode e la stessa infrastruttura; secondo BleepingComputer sono firmate con 13 certificati diversi e pubblicate da almeno due account, fivedev e CPS Developer. Non possono installare software in silenzio, ma mostrano annunci fuori dalla propria interfaccia.

Indicatori pubblici. I nomi dei pacchetti sono elencati di seguito; hash e indirizzi dei server sono nel rapporto di Bitdefender.

MITRE ATT&CK for Mobile (mappatura dai fatti riportati): T1474.003 (Supply Chain Compromise: Compromise Software Supply Chain), T1655.001 (Masquerading: Match Legitimate Name or Location), T1407 (Download New Code at Runtime), T1629.003 (Impair Defenses: Disable or Modify Tools), T1643 (Generate Traffic from Victim), T1604 (Proxy Through Victim).

Impatto per le aziende europee e italiane

L’Italia è tra i tre paesi con più rilevamenti. Per un’azienda il rischio non riguarda solo il telefono personale di un dipendente: smartphone economici vengono comprati per magazzini, squadre esterne, turni o come telefoni di servizio, e si collegano alla rete Wi-Fi aziendale. Un dispositivo che fa da proxy porta traffico di sconosciuti dentro la tua connessione: il tuo indirizzo IP può comparire nei log di attacchi contro terzi e, se il telefono è sulla rete interna, l’operatore può raggiungere ciò che il telefono vede.

Il caso mostra anche che le buone abitudini dell’utente non bastano: niente APK sospetti e solo app dal Play Store non servono se il telefono arriva già compromesso. Per i soggetti NIS2, l’articolo 21 chiede la sicurezza della catena di approvvigionamento e nell’acquisizione dei sistemi: i dispositivi mobili rientrano nel perimetro.

Cosa fare subito

1. Fai l’inventario dei telefoni Android aziendali e di quelli ammessi sulla rete, con marca, modello e versione del firmware; verifica prima i modelli economici con chip MediaTek e quelli citati nelle fonti.
2. Cerca i pacchetti noti con ADB o con il tuo sistema di gestione dei dispositivi: com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot, com.android.non.szcz, com.mobile.applock.en.
3. Sui telefoni colpiti, Bitdefender indica due strade: un firmware pulito o la disattivazione del componente via ADB (per esempio pm disable-user --user 0 <pacchetto>). Il ripristino di fabbrica non tocca la partizione di sistema. Se il produttore non fornisce un firmware pulito, valuta di ritirare il dispositivo.
4. Tieni separati i dispositivi non gestiti: rete ospiti o VLAN dedicata, senza accesso ai server e alle reti interne.
5. Controlla il traffico in uscita dei segmenti dei telefoni e confrontalo con gli indicatori di compromissione di Bitdefender; un telefono con connessioni persistenti verso host sconosciuti o volumi insoliti va esaminato.
6. Segnali sul dispositivo: app che si reinstallano dopo la rimozione, Play Store disattivato, app “da Google Play” che nessuno ha scaricato.
7. Negli acquisti, scegli dispositivi certificati per Play Protect e con aggiornamenti di sicurezza garantiti.

Come aiuta ARXDOME

Sui telefoni non si installa un agent: la visibilità passa dalla rete. ARX Watch trova i dispositivi senza sonda attraverso le richieste DHCP e le tabelle dei vicini, e avvisa quando sulla rete aziendale compare un dispositivo nuovo o non autorizzato. ARX Sentry porta i log dei firewall nelle pagine del SOC e nella mappa del NOC, con il traffico in uscita bloccato e le sorgenti presenti nelle liste di minacce. Con ARX Horizon puoi cercare dal portale gli indicatori di compromissione pubblicati.

Ultimo aggiornamento: 9 ottobre 2026