L’8 ottobre 2026 Bitdefender ha descritto Midnight Mimosa, una campagna presente nel firmware — il software di base integrato nel dispositivo — di alcuni smartphone Android economici e multimarca basati su piattaforme MediaTek. Il componente può essere installato prima del primo avvio e agire con privilegi di sistema: il risultato riguarda i dispositivi esaminati da Bitdefender, non tutti gli smartphone Android.
Un componente integrato nel sistema
Bitdefender descrive un’app di sistema persistente, firmata come componente della piattaforma, capace di installare e rimuovere app in silenzio, concedere autorizzazioni e caricare codice da remoto. Tra i nomi individuati compare com.android.system.lite; le varianti possono usare nomi di pacchetto diversi, quindi il nome da solo non identifica con certezza la campagna.
Il componente distribuiva una famiglia rotante di almeno 32 app camuffate, fra cui strumenti meteo, blocca-app, note e gestione dei file. Bitdefender ha osservato frodi pubblicitarie, con impression e clic nascosti, e una funzione distinta di inoltro del traffico tramite proxy residenziali. L’azienda considera probabile che l’obiettivo principale sia generare ricavi.
Prima di installare un payload, il componente può disattivare temporaneamente Google Play Store e riattivarlo dopo l’installazione. Bitdefender ritiene probabile che questo passaggio serva a eludere Play Protect. L’app ha anche richiesto accesso alle funzioni di Accessibilità, alle notifiche e agli SMS, ma Bitdefender non ne ha osservato l’uso durante l’analisi.
Le app su Google Play avevano privilegi diversi
Bitdefender ha individuato 13 app su Google Play con codice legato alle frodi pubblicitarie e comunicazioni con gli stessi server. Queste app non avevano i privilegi di sistema del componente presente nel firmware: la somiglianza nei codici e nei server non le rende equivalenti al componente preinstallato.
Nel dataset complessivo, le associazioni autentiche marca-modello più rappresentate includevano Doogee S200 X e Cubot KINGKONG X. Bitdefender ha osservato dispositivi in migliaia di casi, in oltre 150 Paesi, nell’arco di circa due anni.
Per l’Italia, il grafico di Bitdefender attribuisce al Paese il 9,97% dei dispositivi osservati nella campagna. È la quota italiana all’interno del campione analizzato.
Perché il ripristino non garantisce la rimozione
Bitdefender colloca il componente principale nella partizione di sistema, una sezione protetta che contiene parti essenziali del software del telefono. Per questo, eliminare una normale app o ripristinare il dispositivo alle impostazioni di fabbrica non garantisce che il componente venga rimosso.
Bitdefender indica come interventi possibili una pulizia del firmware o la disattivazione del componente tramite ADB, sigla di Android Debug Bridge, lo strumento che permette di impartire comandi al dispositivo da un computer. L’azienda considera entrambe le soluzioni poco realistiche per la maggior parte dei proprietari dei dispositivi coinvolti.
