Een nieuwe Android-telefoon kan al vóór de eerste keer aanzetten malware bevatten. Bitdefender beschreef op 8 oktober 2026 de campagne Midnight Mimosa, die vooraf in de firmware stond van bepaalde goedkope Android-toestellen van verschillende merken met MediaTek-platforms. De bevinding gaat over die specifieke apparaten, niet over alle Android-telefoons. Bitdefenders technische analyse

Een systeemonderdeel met ruime rechten

Firmware is de software die de basisfuncties van een apparaat aanstuurt. Het onderdeel van Midnight Mimosa staat daarin al vóór de eerste start van de telefoon. Bitdefender beschrijft het als een blijvende systeemapp die stilletjes apps kan installeren en verwijderen, rechten kan verlenen en code op afstand kan laden.

Bitdefender noemt com.android.system.lite als kernpakket. Verwante versies kunnen andere, wisselende pakketnamen gebruiken. Een pakketnaam alleen is daardoor geen betrouwbare manier om de malwarefamilie te herkennen.

De campagne zet volgens Bitdefender minstens 32 vermomde apps in, waaronder apps die zich voordoen als weer-, notitie- of bestandsbeheerprogramma’s. De onderzoekers zagen verborgen advertentie- en klikfraude en een afzonderlijke functie die internetverbindingen via apparaten van gewone gebruikers doorstuurt. Bitdefender noemt financieel gewin als vermoedelijke hoofdmotivatie.

Het systeemonderdeel vroeg om toegang tot Toegankelijkheid, meldingen en sms. Bitdefender zag tijdens zijn analyse niet dat deze rechten werden gebruikt. De malware kan de Google Play Store bovendien kort uitschakelen voordat zij een payload installeert en daarna weer inschakelen. Bitdefender vermoedt dat dit bedoeld is om detectie door Google Play Protect te ontwijken.

De apps uit Google Play zijn niet hetzelfde onderdeel

Bitdefender vond ook 13 apps in Google Play met verwante code voor advertentiefraude en verbindingen met dezelfde servers. Die apps hadden volgens de analyse niet de systeemrechten van het onderdeel dat in de firmware staat. De overeenkomst in code en communicatie maakt ze dus niet gelijk aan de vooraf geïnstalleerde component.

Waarom een fabrieksreset niet volstaat

De kerncomponent staat in de systeempartitie, het afgeschermde deel van de opslagruimte waarin Android essentiële systeembestanden bewaart. Een gewone app verwijderen of de telefoon terugzetten naar de fabrieksinstellingen is daarom geen betrouwbare manier om juist deze component weg te krijgen.

Bitdefender beschrijft herstel op firmwareniveau of uitschakeling via ADB, de Android Debug Bridge waarmee een apparaat vanaf een computer kan worden aangestuurd. Volgens Bitdefender zijn die ingrepen voor de meeste eigenaren van getroffen toestellen niet realistisch.