Bitdefender opisał malware Midnight Mimosa w oprogramowaniu układowym (firmware) niektórych tanich, wielomarkowych urządzeń z Androidem opartych na platformach MediaTek. Komponent znajdował się w telefonach przed pierwszym uruchomieniem i miał uprawnienia systemowe. Analiza Bitdefender z 8 października 2026 r. przedstawia zakres kampanii i jej działanie.

Komponent działa na poziomie systemu

Według Bitdefender trwały komponent systemowy potrafił po cichu instalować i usuwać aplikacje, przyznawać im uprawnienia oraz ładować kod dostarczany zdalnie. Wśród nazw powiązanych pakietów firma wymienia com.android.system.lite, com.android.sys.prot i com.android.sys.gmsprot; nazwy zmieniały się, więc sama nazwa pakietu nie wystarcza do rozpoznania kampanii.

Bitdefender opisał co najmniej 32 podszywające się aplikacje, m.in. pogodowe, do blokowania aplikacji, notatek, rozpoznawania tekstu, zarządzania plikami i edycji dźwięku. W próbce komponent przed instalacją dodatkowego ładunku potrafił wyłączyć Sklep Google Play, a potem ponownie go włączyć. Według Bitdefender prawdopodobnym celem było utrudnienie wykrycia przez Play Protect.

Firma zaobserwowała też ukryte wyświetlanie reklam i oszustwa związane z kliknięciami, a osobno funkcję residential proxy, która pozwala przekazywać ruch sieciowy przez urządzenie. Bitdefender uznał, że głównym motywem kampanii prawdopodobnie było zarabianie.

Powiązane aplikacje Google Play miały inne uprawnienia

Bitdefender znalazł 13 aplikacji w Google Play z powiązanym kodem oszustw reklamowych i komunikacją z tymi samymi serwerami. Nie miały one jednak uprawnień komponentu umieszczonego w firmware.

Komponent systemowy zażądał uprawnień do ułatwień dostępu, powiadomień i SMS-ów. Bitdefender nie zaobserwował, by były używane podczas analizy. Samo żądanie uprawnień nie oznacza więc, że firma odnotowała ich wykorzystanie.

Co mówią dane dotyczące Polski

Bitdefender zaobserwował tysiące urządzeń w ponad 150 krajach w ciągu około dwóch lat. W jego zbiorze Polska odpowiadała za 1,54% zaobserwowanych urządzeń.

Wśród najczęściej wykrywanych rzeczywistych, nazwanych modeli w danych kampanii Bitdefender wymienił Doogee S200 X i Cubot KINGKONG X. Są to modele odnotowane w zbiorze kampanii, a nie wskazanie telefonów sprzedawanych w Polsce.

Dlaczego reset fabryczny może nie wystarczyć

Bitdefender umieścił główny komponent w partycji systemowej, czyli wydzielonej części pamięci zawierającej elementy systemu operacyjnego. Zwykłe odinstalowanie aplikacji ani przywrócenie ustawień fabrycznych nie dają pewności usunięcia takiego komponentu.

Firma opisała czyszczenie firmware’u albo wyłączenie komponentu przez ADB (Android Debug Bridge), narzędzie do komunikacji z systemem Android. Bitdefender ocenił, że obie metody są nierealistyczne dla większości właścicieli urządzeń objętych kampanią.