Bitdefender beschrieb am 8. Oktober 2026 die Malware-Kampagne Midnight Mimosa in der Firmware bestimmter günstiger Android-Geräte mit MediaTek-Plattformen – bereits vor dem ersten Einschalten. Die Analyse betrifft Geräte verschiedener Marken, nicht Android-Handys allgemein. Bitdefender Labs

Was die vorinstallierte Komponente kann

Firmware ist gerätenahe Software, die grundlegende Funktionen eines Geräts steuert. Bitdefender zufolge enthält die Firmware der untersuchten Geräte eine dauerhafte, plattformsignierte System-App. Sie kann Apps unbemerkt installieren und entfernen, Berechtigungen vergeben und aus der Ferne bereitgestellten Code laden. Zu den gefundenen Paketnamen gehört com.android.system.lite; verwandte Namen können wechseln.

Bitdefender beobachtete außerdem mindestens 32 getarnte Apps, darunter Wetter-, Notiz-, OCR-, Dateiverwaltungs- und Audiobearbeitungs-Apps. Die Systemkomponente kann den Google Play Store unmittelbar vor der Installation einer solchen App abschalten und danach wieder aktivieren. Bitdefender hält es für wahrscheinlich, dass dies die Erkennung durch Google Play Protect erschweren soll.

Eine andere Gruppe bilden 13 Apps aus Google Play, bei denen Bitdefender verwandten Code für Werbebetrug und Verbindungen zu denselben Servern fand. Diese Apps hatten nicht die Systemrechte der Firmware-Komponente. Bitdefender beobachtete versteckte Werbeeinblendungen und Klicks sowie eine separate Funktion für Residential-Proxys. Als wahrscheinlichstes Motiv nennt das Unternehmen Einnahmen.

Was die Deutschland-Zahl aussagt

Bitdefender berichtete am 8. Oktober 2026 von Tausenden beobachteten Geräten in mehr als 150 Ländern über einen Zeitraum von ungefähr zwei Jahren. In der Länderverteilung entfielen 7,30 Prozent der von Bitdefender beobachteten Kampagnengeräte auf Deutschland. Die Zahl beschreibt den Anteil im Kampagnendatensatz.

Unter den echten, benannten Modellzuordnungen traten Doogee S200 X und Cubot KINGKONG X am häufigsten auf. Diese Modellangaben beziehen sich auf den Gesamtdatensatz; die Deutschland-Zahl gibt dessen geografische Verteilung wieder.

Angeforderte Berechtigungen und Entfernung

Die Systemkomponente forderte nach Bitdefenders Analyse Zugriff auf Bedienungshilfen, Benachrichtigungen und SMS an. Bitdefender beobachtete während der Analyse keine Nutzung dieser Berechtigungen. Eine angeforderte Berechtigung ist damit nicht gleichbedeutend mit einer beobachteten Nutzung.

Die Malware-Komponente liegt laut Bitdefender in der Systempartition, einem geschützten Bereich des Gerätespeichers für Systemsoftware. Das gewöhnliche Entfernen einer App oder ein Zurücksetzen auf Werkseinstellungen ist deshalb keine verlässliche Entfernungsmethode. Bitdefender beschreibt eine Bereinigung der Firmware oder das Deaktivieren der Komponente über ADB, die Android Debug Bridge zur Verbindung mit einem Gerät. Beides sei für die meisten Besitzer betroffener Geräte nicht realistisch.