Le 8 octobre 2026, Bitdefender a décrit Midnight Mimosa, un malware préinstallé dans le micrologiciel — le logiciel intégré qui fait fonctionner un appareil — de certains téléphones Android bon marché et multimarques reposant sur des plateformes MediaTek. Le composant peut donc être présent avant le premier démarrage. L’analyse porte sur ces appareils, pas sur l’ensemble des téléphones Android. Bitdefender a observé des milliers d’appareils dans plus de 150 pays sur une période d’environ deux ans.
Un composant système, distinct des applications Google Play
Bitdefender décrit un composant persistant intégré au système, notamment sous le nom com.android.system.lite. Des variantes utilisent des noms de paquet différents, qui peuvent changer : le nom affiché ne suffit donc pas à identifier à lui seul la campagne.
Ce composant peut installer ou supprimer discrètement des applications, leur accorder des autorisations et charger du code transmis à distance. Bitdefender a également recensé au moins 32 applications déguisées, notamment en outils météo, blocage d’applications, prise de notes, reconnaissance optique de caractères (OCR), gestion de fichiers ou édition audio.
La présence d’applications apparentées sur Google Play correspond à un autre cas : Bitdefender en a identifié 13 avec du code lié à la fraude publicitaire et des communications avec les mêmes serveurs. Elles ne disposaient pas des privilèges système du composant préinstallé.
Des autorisations demandées, mais pas observées en usage
Bitdefender a observé des fraudes aux impressions et aux clics publicitaires, ainsi qu’une fonction distincte de relais par proxy résidentiel. L’entreprise estime que la génération de revenus est probablement le principal objectif de la campagne.
Le composant a demandé l’accès aux fonctions d’accessibilité, aux notifications et aux SMS. Bitdefender n’a pas observé l’utilisation de ces autorisations pendant son analyse. Il a aussi relevé que le composant pouvait désactiver le Google Play Store juste avant l’installation d’une charge utile, puis le réactiver. Bitdefender estime que cette manœuvre vise probablement à éviter la détection par Google Play Protect.
Ce que représente la part attribuée à la France
Dans le jeu de données de Bitdefender, la France représentait 12,48 % des appareils observés. Cette proportion décrit la répartition des appareils associés à Midnight Mimosa dans les observations de l’entreprise. Elle ne permet pas de conclure qu’un modèle donné vendu en France est touché.
Les deux modèles authentiques les plus représentés parmi les appareils identifiés par Bitdefender étaient le S200 X de Doogee et le KINGKONG X de Cubot. Ces associations ne permettent pas de rattacher l’un de ces modèles aux appareils observés en France.
Pourquoi une réinitialisation ne garantit pas le retrait
Bitdefender situe le composant principal dans la partition système, une zone du stockage qui contient les fichiers essentiels au fonctionnement d’Android. Supprimer une application ou réinitialiser le téléphone aux paramètres d’usine ne garantit donc pas le retrait de ce composant.
L’analyse décrit deux pistes de correction : intervenir au niveau du micrologiciel ou désactiver le composant avec ADB (Android Debug Bridge), un outil de communication avec un appareil Android. Bitdefender juge ces opérations irréalistes pour la plupart des propriétaires des appareils concernés.
