Il telefono è infetto prima di aprire la scatola
L'8 ottobre Bitdefender Labs ha segnalato una campagna chiamata Midnight Mimosa, attiva su telefoni Android economici di più marchi basati su piattaforme MediaTek. Il malware viaggia nel firmware del dispositivo, quindi è sul telefono prima che il proprietario lo accenda la prima volta, e il proprietario non può disinstallarlo.
Il suo componente principale, un pacchetto di sistema chiamato com.android.system.lite, gira con privilegi di sistema. Così può installare e rimuovere app in silenzio, concedere permessi e caricare codice fornito a distanza dai suoi operatori. Bitdefender ha trovato lo stesso nucleo sotto altri nomi che sembrano di sistema, tra cui com.android.sys.prot, com.android.sys.gmsprot e com.android.sys.bcprot.
Il denaro arriva dalla frode e dall'affitto del telefono. Gli operatori fanno frode pubblicitaria e sui clic, raccolgono dati del dispositivo e delle app e trasformano i telefoni in nodi proxy residenziali di botnet. L'app di sistema non clicca da sola sugli annunci: le app di copertura che lascia cadere, come meteo, blocco app e OCR, caricano annunci veri tramite un SDK pubblicitario legittimo in una finestra invisibile.
Quanto si è diffuso
I numeri di Bitdefender descrivono una campagna di portata globale e con forte presenza europea.
| Riscontro | Dato |
|---|---|
| App partner mascherate nella famiglia a rotazione | Almeno 32 |
| App su Google Play collegate agli stessi server | 13, nessuna ora scaricabile |
| Periodo di osservazione | Circa due anni |
| Paesi con rilevamenti | Più di 150 |
| I sette paesi con la maggiore quota di dispositivi | Messico, Francia, Italia, Stati Uniti, Germania, Brasile, Spagna |
Nessun paese domina. Bitdefender legge i due centri di gravità, Europa occidentale e Americhe, come l'aspetto di hardware che circola nei mercati online internazionali, non come un canale di distribuzione regionale. L'elenco dei paesi di The Hacker News include anche Regno Unito, Canada, Romania, Polonia e Thailandia.
Bitdefender non sa dire in quale punto della catena di fornitura venga aggiunto il malware. Può essere un produttore a contratto, un integratore di firmware, un partner logistico o qualcuno più a valle.
Perché i controlli abituali non servono
Il punto di Bitdefender è che ogni difesa rivolta all'utente presuppone che il proprietario sia presente all'installazione: la richiesta di installazione, la revisione dello store, Play Protect e la possibilità di disinstallare dopo. Un'app di sistema firmata dalla piattaforma toglie il proprietario da quel circuito, e questa disattiva Google Play poco prima di installare un payload e lo riattiva dopo.
Ripulire un telefono colpito richiede una pulizia a livello di firmware o la disattivazione del componente tramite ADB, e Bitdefender definisce entrambe le cose irrealistiche per la maggior parte dei proprietari. Dice che la soluzione duratura sta nei produttori e nei marketplace che distribuiscono e vendono il firmware. La nostra lettura è che un agente di gestione dei dispositivi mobili gira sullo stesso firmware, quindi non va dato per scontato che possa rimuovere un componente che vive nella partizione di sistema.
Le norme UE puntano al produttore, ma i tempi lasciano esposti gli acquirenti. Gli obblighi di segnalazione del Cyber Resilience Act per le vulnerabilità sfruttate attivamente si applicano dall'11 settembre 2026, e gli obblighi principali dall'11 dicembre 2027. Bitdefender non dice se i telefoni trovati siano stati venduti nell'UE tramite canali legittimi, solo che i rilevamenti sono numerosi in Francia, Italia, Germania e Spagna.
Cosa mettere nella policy sui telefoni
Scrivete uno standard di acquisto: marchi noti, un periodo pubblicato di aggiornamenti di sicurezza e telefoni acquistati dal produttore o da un rivenditore autorizzato. Trattate le imitazioni molto economiche dei modelli di punta come un campanello d'allarme. Bitdefender osserva che nomi di modello come S24 Ultra, S25 Ultra e S26 Ultra compaiono come stringhe di modello segnalate da hardware MediaTek a basso costo.
Per i dipendenti che usano già il proprio telefono, ammettete solo modelli approvati e al massimo lasciate i dispositivi economici sconosciuti sul wifi ospiti. Se i vostri log DNS o del firewall sono ricercabili, cercate gli host di comando e di payload dell'elenco di indicatori di Bitdefender, api.weatherlive[.]world e oss.showtimetool[.]com, e considerate una corrispondenza un motivo per ispezionare quel dispositivo.
Il nome di un pacchetto è un indizio, non un test. Bitdefender sottolinea che i nomi ruotano e che conta il nucleo condiviso, quindi affidatevi a hardware scelto da voi e a log che sapete leggere, non a una blocklist di nomi di app.
Da leggere ora: Google ha appena aiutato a finanziare il vincolo che UALink doveva evitare | Motorola rompe il monopolio Pixel di GrapheneOS
