Bitdefender décrit Midnight Mimosa, un malware préinstallé dans le micrologiciel, ou firmware, de certains téléphones Android économiques et multimarques utilisant une plateforme MediaTek. Présent avant le premier démarrage, son composant système ne disparaît pas avec une désinstallation ordinaire. Pour les propriétaires concernés, Bitdefender cite une intervention sur le firmware ou la désactivation du composant via ADB, deux options qu’il juge irréalistes pour la plupart.
Un composant présent avant le premier démarrage
Le composant persistant de Midnight Mimosa est intégré au firmware de certains appareils avant leur mise en service, selon Bitdefender. Le rapport concerne des téléphones Android économiques et multimarques construits sur des plateformes MediaTek, pas l’ensemble des modèles abordables.
Bitdefender indique avoir observé la campagne sur plusieurs milliers d’appareils uniques dans plus de 150 pays pendant environ deux ans. Ces appareils ont été repérés dans des dizaines de pays, mais cette portée ne signifie pas que tous les téléphones de ces marchés, ni tous les modèles d’une marque donnée, sont concernés.
Des installations discrètes et des fraudes publicitaires
D’après l’analyse de Bitdefender, le composant système peut installer et supprimer des applications sans intervention de l’utilisateur, leur accorder des permissions et charger du code à distance. Les chercheurs ont observé des fraudes aux impressions et aux clics publicitaires, ainsi que l’utilisation de certains appareils comme relais proxy résidentiels, c’est-à-dire comme points de passage sur une connexion internet domestique.
Bitdefender précise que certaines permissions liées à l’accessibilité, aux notifications et aux SMS étaient accessibles à l’opérateur, mais qu’elles n’ont pas été observées en usage pendant l’analyse. La présence d’une capacité ne signifie donc pas que chaque appareil a exécuté toutes les activités décrites.
Pourquoi une désinstallation ne suffit pas
Le composant étant installé dans la partition système, le supprimer comme une application classique ne retire pas la racine persistante du malware. Bitdefender mentionne deux voies de remédiation : intervenir au niveau du firmware ou désactiver le composant via ADB, l’Android Debug Bridge, un outil de débogage reliant un appareil Android à un ordinateur. Le rapport estime ces opérations irréalistes pour la plupart des propriétaires concernés.
L’intégration au firmware n’est pas attribuée
Bitdefender indique que le point de la chaîne d’approvisionnement où Midnight Mimosa a été intégré et l’acteur responsable ne sont pas identifiés.
