Des Android bon marché livrés avec un malware intégré

Le téléphone est infecté avant l'ouverture du carton

Le 8 octobre, Bitdefender Labs a signalé une campagne baptisée Midnight Mimosa, active sur des téléphones Android bon marché de plusieurs marques bâtis sur des plateformes MediaTek. Le malware est livré dans le firmware de l'appareil, donc il est sur le téléphone avant que le propriétaire l'allume la première fois, et le propriétaire ne peut pas le désinstaller.

Son composant principal, un paquet système nommé com.android.system.lite, s'exécute avec des privilèges système. Cela lui permet d'installer et de retirer des applis en silence, d'accorder des permissions et de charger du code fourni à distance par ses opérateurs. Bitdefender a trouvé le même cœur sous d'autres noms qui sonnent comme du système, dont com.android.sys.prot, com.android.sys.gmsprot et com.android.sys.bcprot.

L'argent vient de la fraude et de la location du téléphone. Les opérateurs pratiquent la fraude publicitaire et au clic, collectent des données sur l'appareil et les applis et transforment les téléphones en nœuds proxy résidentiels de botnets. L'appli système ne clique pas elle-même sur les publicités : des applis de façade déposées, comme la météo, le verrouillage d'applis ou l'OCR, chargent de vraies publicités via un SDK publicitaire légitime dans une fenêtre invisible.

Jusqu'où cela s'est étendu

Les chiffres de Bitdefender décrivent une campagne de portée mondiale avec une forte présence européenne.

Aucun pays ne domine. Bitdefender lit les deux centres de gravité, l'Europe de l'Ouest et les Amériques, comme l'image de matériel qui circule par des places de marché en ligne internationales, pas comme un canal de distribution régional. La liste de pays de The Hacker News inclut aussi le Royaume-Uni, le Canada, la Roumanie, la Pologne et la Thaïlande.

Bitdefender ne peut pas dire à quel endroit de la chaîne d'approvisionnement le malware est ajouté. Cela pourrait être un fabricant sous contrat, un intégrateur de firmware, un partenaire logistique ou quelqu'un plus loin dans la chaîne.

Pourquoi les contrôles habituels ne jouent pas

Pour Bitdefender, toute défense tournée vers l'utilisateur suppose que le propriétaire est présent à l'installation : la demande d'installation, la revue du store, Play Protect et la possibilité de désinstaller ensuite. Une appli système signée par la plateforme sort le propriétaire de cette boucle, et celle-ci désactive Google Play juste avant d'installer une charge puis le réactive.

Nettoyer un téléphone touché demande un nettoyage au niveau du firmware ou la désactivation du composant via ADB, et Bitdefender ne juge ni l'un ni l'autre réaliste pour la plupart des propriétaires. Selon lui, la solution durable est du côté des fabricants et des places de marché qui distribuent et vendent le firmware. Notre lecture : un agent de gestion des mobiles tourne sur le même firmware, donc on ne doit pas supposer qu'il puisse retirer un composant qui vit dans la partition système.

Les règles européennes visent le fabricant, mais le calendrier laisse les acheteurs exposés. Les obligations de signalement du Cyber Resilience Act pour les vulnérabilités activement exploitées s'appliquent depuis le 11 septembre 2026, et ses obligations principales à partir du 11 décembre 2027. Bitdefender ne dit pas si les téléphones trouvés ont été vendus dans l'UE par des canaux légitimes, seulement que les détections sont nombreuses en France, en Italie, en Allemagne et en Espagne.

Que mettre dans la politique de téléphonie

Rédigez une norme d'achat : marques connues, une durée publiée de mises à jour de sécurité et des téléphones achetés auprès du fabricant ou d'un revendeur agréé. Traitez les imitations très bon marché de modèles haut de gamme comme un signal d'alarme. Bitdefender note que des noms de modèle comme S24 Ultra, S25 Ultra et S26 Ultra apparaissent comme chaînes de modèle remontées par du matériel MediaTek à bas coût.

Pour le personnel qui apporte son propre téléphone, n'admettez que des modèles approuvés et, au mieux, laissez les appareils bon marché inconnus sur le wifi invités. Si vos journaux DNS ou de pare-feu sont interrogeables, cherchez les hôtes de commande et de charge de la liste d'indicateurs de Bitdefender, api.weatherlive[.]world et oss.showtimetool[.]com, et voyez dans une correspondance une raison d'inspecter cet appareil.

Un nom de paquet est un indice, pas un test. Bitdefender souligne que les noms tournent et que le cœur partagé est ce qui compte, alors appuyez-vous sur du matériel que vous avez choisi et des journaux que vous savez lire, pas sur une liste de blocage de noms d'applis.

À lire ensuite: Google vient d'aider à financer le verrouillage que UALink devait justement éviter  |  Motorola brise le monopole Pixel de GrapheneOS