Midnight Mimosa: proxy și fraudă în firmware-ul Android ieftine

Bitdefender a publicat analiza Midnight Mimosa, o campanie malware care nu îi cere utilizatorului să instaleze nimic: codul rău intenționat se află deja în firmware-ul unor smartphone-uri Android ieftine bazate pe cipuri MediaTek, în partiția de sistem, când telefonul iese din cutie. Dispozitivele infectate sunt folosite pentru fraudă publicitară și pot deveni proxy-uri rezidențiale controlate de la distanță.

Știrea a fost preluată de BleepingComputer, SecurityWeek și Cybersecurity360. Toate trei se bazează pe raportul Bitdefender; BleepingComputer adaugă semnalările utilizatorilor de pe forumul XDA.

Ce s-a întâmplat

Potrivit Bitdefender, în aproximativ doi ani malware-ul a apărut pe mii de dispozitive din peste 150 de țări. Cele mai multe detecții sunt în Mexic, Franța și Italia, urmate de Statele Unite, Germania, Brazilia și Spania; SecurityWeek subliniază că, pe regiuni, ies în evidență Europa de Vest și cele două Americi.

Printre modelele citate de BleepingComputer se află Doogee S200 X și Cubot KINGKONG X, precum și telefoane care imită produse Samsung și Apple. Pe forumul XDA, proprietarul unui Doogee Fire 3 Max relatează că malware-ul a venit cu o actualizare oficială de firmware, a dispărut după revenirea la versiunea anterioară și a reapărut odată cu actualizarea. Pentru unii utilizatori, actualizări ulterioare ale producătorilor au rezolvat problema, dar producătorii nu au explicat cum a ajuns codul în firmware.

Nu se știe cine a modificat firmware-ul și nici în ce punct al lanțului de aprovizionare: Cybersecurity360 menționează ca ipoteze un producător ODM, un integrator de firmware sau un intermediar logistic. Bitdefender a găsit firmware semnat cu certificate asociate cu Shenzhen Zediel, precizând că acest lucru nu dovedește implicarea companiei.

Detalii tehnice

Componenta de sistem. Nucleul este o aplicație de sistem semnată la nivel de platformă, care se dă drept un pachet Android legitim: com.android.system.lite, observată apoi și ca com.android.sys.prot și com.android.sys.gmsprot (și, potrivit Cybersecurity360, com.android.sys.bcprot). Cu privilegii de sistem instalează și elimină aplicații, acordă permisiuni și execută cod descărcat de pe serverul de comandă și control, fără intervenția utilizatorului. Nu poate fi dezinstalată prin procedura obișnuită. Bitdefender leagă de aceeași familie și pachetul com.android.non.szcz semnalat pe XDA.

Modulele. De pe C2 sosesc circa 32 de aplicații deghizate în aplicații meteo, manageri de fișiere, aplicații de blocare, instrumente OCR și editoare audio. Potrivit Cybersecurity360, payload-urile se schimbă în timp, așa că rămân puțin pe dispozitiv.

Ocolirea controalelor. Înainte de a instala un payload, malware-ul dezactivează temporar Play Store (com.android.vending), astfel încât Google Play Protect să fie oprit în timpul instalării, apoi îl reactivează. Potrivit BleepingComputer, unele variante falsifică și instalatorul înregistrat, ca aplicațiile să pară descărcate din Google Play.

Frauda publicitară. Clicurile nu sunt generate de aplicația de sistem, ci de aplicațiile de acoperire: încarcă reclame reale printr-un SDK publicitar legitim, le afișează în ferestre invizibile peste alte aplicații sau dau clic pe ele automat, chiar și când telefonul nu este folosit.

Proxy rezidențial. O aplicație deghizată în aplicație de blocare, com.mobile.applock.en, conține un proxy TCP care înregistrează dispozitivul la un server la distanță și primește ordinul de a se conecta la anumite gazde și de a redirecționa trafic. Astfel operatorul își poate trece propriul trafic prin conexiunea victimei sau poate ajunge la dispozitivele accesibile din telefon. Bitdefender a verificat că infrastructura accepta înregistrări, dar dispozitivul său de test nu a primit destinații: redirecționarea efectivă a traficului nu este confirmată. Doar Cybersecurity360 menționează o posibilă folosire pentru atacuri DDoS.

Și în Google Play. Bitdefender a găsit 13 aplicații în Google Play cu același cod de fraudă și aceeași infrastructură; potrivit BleepingComputer, sunt semnate cu 13 certificate diferite și publicate de cel puțin două conturi, fivedev și CPS Developer. Nu pot instala software în tăcere, dar afișează reclame în afara propriei interfețe.

Indicatori publici. Numele pachetelor sunt enumerate în continuare; hash-urile și adresele serverelor se află în raportul Bitdefender.

MITRE ATT&CK for Mobile (corespondență pe baza faptelor raportate): T1474.003 (Supply Chain Compromise: Compromise Software Supply Chain), T1655.001 (Masquerading: Match Legitimate Name or Location), T1407 (Download New Code at Runtime), T1629.003 (Impair Defenses: Disable or Modify Tools), T1643 (Generate Traffic from Victim), T1604 (Proxy Through Victim).

Impactul pentru companiile europene și italiene

Italia se numără printre primele trei țări după numărul de detecții. Pentru o companie, riscul nu se limitează la telefonul personal al unui angajat: smartphone-urile ieftine sunt cumpărate pentru depozite, echipe de teren, ture sau ca telefoane de serviciu și se conectează la rețeaua Wi-Fi a companiei. Un dispozitiv care funcționează ca proxy aduce trafic străin în conexiunea ta: adresa ta IP poate apărea în jurnalele unor atacuri împotriva altora și, dacă telefonul este în rețeaua internă, operatorul poate ajunge la tot ce vede telefonul.

Cazul arată și că obiceiurile bune ale utilizatorului nu sunt de ajuns: evitarea fișierelor APK suspecte și folosirea doar a Play Store nu ajută dacă telefonul ajunge deja compromis. Pentru entitățile NIS2, articolul 21 cere securitatea lanțului de aprovizionare și securitate la achiziția sistemelor: dispozitivele mobile intră în acest perimetru.

Ce să faci imediat

1. Fă inventarul telefoanelor Android ale companiei și al celor admise în rețea, cu marcă, model și versiune de firmware; verifică mai întâi modelele ieftine cu cipuri MediaTek și pe cele citate în surse.
2. Caută pachetele cunoscute cu ADB sau cu sistemul tău de gestionare a dispozitivelor: com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot, com.android.non.szcz, com.mobile.applock.en.
3. Pe telefoanele afectate, Bitdefender indică două variante: un firmware curat sau dezactivarea componentei prin ADB (de exemplu pm disable-user --user 0 <pachet>). Resetarea la setările din fabrică nu atinge partiția de sistem. Dacă producătorul nu oferă un firmware curat, ia în calcul retragerea dispozitivului.
4. Ține separate dispozitivele negestionate: rețea pentru oaspeți sau VLAN dedicat, fără acces la servere și la rețelele interne.
5. Verifică traficul de ieșire din segmentele telefoanelor și compară-l cu indicatorii de compromitere publicați de Bitdefender; un telefon cu conexiuni persistente către gazde necunoscute sau volume neobișnuite trebuie examinat.
6. Semne pe dispozitiv: aplicații care se reinstalează după eliminare, Play Store dezactivat, aplicații „din Google Play” pe care nu le-a descărcat nimeni.
7. La achiziții, alege dispozitive certificate pentru Play Protect și cu actualizări de securitate garantate.

Cum ajută ARXDOME

Pe telefoane nu se instalează un agent: vizibilitatea vine din rețea. ARX Watch găsește dispozitivele fără sondă prin cererile DHCP și tabelele de vecini și te avertizează când apare în rețeaua companiei un dispozitiv nou sau neautorizat. ARX Sentry aduce jurnalele firewall-urilor în paginile SOC și pe harta NOC, cu traficul de ieșire blocat și sursele prezente în listele de amenințări. Cu ARX Horizon poți căuta din portal indicatorii de compromitere publicați.

Ultima actualizare: 9 octombrie 2026