Das Handy ist infiziert, bevor der Karton aufgeht
Am 8. Oktober berichtete Bitdefender Labs über eine Kampagne namens Midnight Mimosa, die auf günstigen Android-Handys mehrerer Marken mit MediaTek-Plattform läuft. Die Schadsoftware steckt in der Firmware des Geräts, ist also auf dem Handy, bevor der Besitzer es zum ersten Mal einschaltet, und der Besitzer kann sie nicht deinstallieren.
Ihre Hauptkomponente, ein Systempaket namens com.android.system.lite, läuft mit Systemrechten. Damit kann sie unbemerkt Apps installieren und entfernen, Berechtigungen vergeben und von ihren Betreibern aus der Ferne gelieferten Code laden. Bitdefender fand denselben Kern unter anderen systemähnlichen Namen, darunter com.android.sys.prot, com.android.sys.gmsprot und com.android.sys.bcprot.
Das Geld kommt aus Betrug und aus dem Vermieten des Handys. Die Betreiber begehen Werbe- und Klickbetrug, sammeln Geräte- und App-Daten und machen Handys zu Residential-Proxy-Knoten in Botnetzen. Die System-App klickt nicht selbst auf Werbung: abgelegte Tarn-Apps wie Wetter-, App-Sperre- und OCR-Werkzeuge laden echte Anzeigen über ein legitimes Werbe-SDK in einem unsichtbaren Fenster.
Wie weit es sich verbreitet hat
Bitdefenders Zahlen zeigen eine Kampagne mit weltweiter Reichweite und starker europäischer Präsenz.
| Befund | Zahl |
|---|---|
| Getarnte Partner-Apps in der rotierenden Familie | Mindestens 32 |
| Apps bei Google Play mit Verbindung zu denselben Servern | 13, derzeit keine mehr herunterladbar |
| Beobachtungszeitraum | Rund zwei Jahre |
| Länder mit Funden | Mehr als 150 |
| Die sieben Länder mit dem größten Geräteanteil | Mexiko, Frankreich, Italien, USA, Deutschland, Brasilien, Spanien |
Kein einzelnes Land dominiert. Bitdefender liest die zwei Schwerpunkte, Westeuropa und Amerika, als das Bild von Hardware, die über internationale Online-Marktplätze wandert, nicht als regionalen Vertriebsweg. Die Länderliste von The Hacker News nennt außerdem das Vereinigte Königreich, Kanada, Rumänien, Polen und Thailand.
Bitdefender kann nicht sagen, an welcher Stelle der Lieferkette die Schadsoftware hinzukommt. Es kann ein Auftragsfertiger sein, ein Firmware-Integrator, ein Logistikpartner oder jemand weiter unten in der Kette.
Warum die üblichen Schutzmechanismen nicht greifen
Bitdefenders Punkt ist, dass jede nutzerseitige Abwehr voraussetzt, dass der Besitzer bei der Installation dabei ist: Installationsdialog, Store-Prüfung, Play Protect und die Möglichkeit, später zu deinstallieren. Eine plattformsignierte System-App nimmt den Besitzer aus dieser Schleife, und diese hier deaktiviert Google Play kurz vor der Installation einer Nutzlast und aktiviert es danach wieder.
Ein befallenes Handy zu säubern erfordert eine Bereinigung auf Firmware-Ebene oder das Abschalten der Komponente über ADB, und Bitdefender hält beides für die meisten Besitzer für unrealistisch. Die dauerhafte Lösung liege bei den Herstellern und Marktplätzen, die die Firmware ausliefern und verkaufen. Unsere Einschätzung: Ein Verwaltungsagent für Mobilgeräte läuft auf derselben Firmware, daher sollte man ihm nicht zutrauen, eine Komponente zu entfernen, die in der Systempartition sitzt.
EU-Regeln zielen auf den Hersteller, doch der Zeitplan lässt Käufer ungeschützt. Die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die Hauptpflichten ab dem 11. Dezember 2027. Bitdefender sagt nicht, ob die gefundenen Handys über legitime Kanäle in der EU verkauft wurden, nur dass die Funde in Frankreich, Italien, Deutschland und Spanien zahlreich sind.
Was in die Handy-Richtlinie gehört
Schreiben Sie einen Beschaffungsstandard: bekannte Marken, ein veröffentlichter Zeitraum für Sicherheitsupdates und Geräte vom Hersteller oder einem autorisierten Händler. Behandeln Sie sehr billige Flaggschiff-Imitate als Warnzeichen. Bitdefender weist darauf hin, dass Modellnamen wie S24 Ultra, S25 Ultra und S26 Ultra als Modellkennungen von günstiger MediaTek-Hardware gemeldet werden.
Für Mitarbeiter, die eigene Handys mitbringen, lassen Sie nur freigegebene Modelle zu und höchstens unbekannte Billiggeräte im Gäste-WLAN. Wenn Ihre DNS- oder Firewall-Protokolle durchsuchbar sind, suchen Sie nach den Steuer- und Nutzlast-Hosts aus Bitdefenders Indikatorliste, api.weatherlive[.]world und oss.showtimetool[.]com, und werten Sie einen Treffer als Anlass, das Gerät zu prüfen.
Ein Paketname ist ein Hinweis, kein Test. Bitdefender betont, dass die Namen rotieren und der gemeinsame Kern zählt, verlassen Sie sich also auf Hardware, die Sie gewählt haben, und auf Protokolle, die Sie lesen können, nicht auf eine Sperrliste von App-Namen.
Weiterlesen: Google half gerade mit, genau die Bindung zu finanzieren, die UALink verhindern sollte | Motorola beendet GrapheneOS' Pixel-Monopol
