Midnight Mimosa: perché la disinstallazione non basta

Bitdefender riferisce di aver trovato Midnight Mimosa preinstallato nel firmware, il software di base del dispositivo, su alcuni smartphone Android economici e multimarca basati su piattaforme MediaTek. La normale disinstallazione di un’app non rimuove il componente persistente; le soluzioni descritte richiedono interventi tecnici sul firmware o l’uso di ADB, e sono poco praticabili per la maggior parte dei proprietari coinvolti.

Cosa può fare Midnight Mimosa

Il componente di sistema può installare e rimuovere app senza avvisare l’utente, concedere permessi e caricare codice da remoto, secondo l’analisi tecnica di Bitdefender. I ricercatori riferiscono di aver osservato anche frodi pubblicitarie e sui clic, oltre all’uso di dispositivi come nodi relay per proxy residenziali.

Bitdefender descrive una famiglia variabile di almeno 32 app camuffate. La campagna è stata osservata su migliaia di dispositivi unici in oltre 150 Paesi nell’arco di circa due anni. Questi dati riguardano le rilevazioni della campagna, non il numero complessivo di telefoni infetti in ciascun Paese.

Perché la disinstallazione non basta

Midnight Mimosa si trova in un componente persistente del sistema, non in una normale app installata dall’utente. Per questo, secondo Bitdefender, disinstallare un’app non lo rimuove. Il rapporto indica una bonifica del firmware oppure la disattivazione del componente tramite ADB, sigla di Android Debug Bridge, uno strumento di gestione tecnica dei dispositivi Android. Bitdefender considera entrambe le strade poco realistiche per la maggior parte dei proprietari coinvolti.

Quali telefoni riguarda la segnalazione

Bitdefender descrive alcuni smartphone Android economici e multimarca con piattaforme MediaTek. Il rapporto cita i nomi modello “S200 X”, associato a Doogee, e “KINGKONG X”, associato a Cubot, tra le stringhe rilevate nella propria telemetria. La presenza di un nome modello nell’elenco non significa che ogni telefono con quel nome sia coinvolto.

Bitdefender non identifica chi abbia integrato il malware nel firmware.