De telefoon is besmet voordat de doos opengaat
Op 8 oktober meldde Bitdefender Labs een campagne die Midnight Mimosa heet en draait op goedkope Androidtelefoons van meerdere merken met MediaTek-platforms. De malware zit in de firmware van het toestel, dus staat al op de telefoon voordat de eigenaar hem voor het eerst aanzet, en de eigenaar kan haar niet verwijderen.
Het hoofdonderdeel, een systeempakket genaamd com.android.system.lite, draait met systeemrechten. Daarmee kan het stilletjes apps installeren en verwijderen, rechten verlenen en code laden die de beheerders op afstand aanleveren. Bitdefender vond dezelfde kern onder andere systeemachtige namen, waaronder com.android.sys.prot, com.android.sys.gmsprot en com.android.sys.bcprot.
Het geld komt uit fraude en uit het verhuren van de telefoon. De beheerders plegen advertentie- en klikfraude, verzamelen toestel- en appgegevens en maken van telefoons residentiële proxyknooppunten in botnets. De systeem-app klikt zelf niet op advertenties: neergezette dekmantel-apps zoals weer-, appvergrendelings- en OCR-tools laden echte advertenties via een legitieme advertentie-SDK in een onzichtbaar venster.
Hoe ver het zich verspreid heeft
De cijfers van Bitdefender beschrijven een campagne met wereldwijd bereik en een sterke Europese aanwezigheid.
| Bevinding | Cijfer |
|---|---|
| Vermomde partner-apps in de roterende familie | Minstens 32 |
| Apps in Google Play gekoppeld aan dezelfde servers | 13, geen enkele nu te downloaden |
| Waarnemingsperiode | Ongeveer twee jaar |
| Landen met detecties | Meer dan 150 |
| De zeven landen met het grootste aandeel toestellen | Mexico, Frankrijk, Italië, Verenigde Staten, Duitsland, Brazilië, Spanje |
Geen enkel land domineert. Bitdefender leest de twee zwaartepunten, West-Europa en Amerika, als het beeld van hardware die via internationale online marktplaatsen rondgaat, niet als een regionaal distributiekanaal. De landenlijst van The Hacker News noemt ook het Verenigd Koninkrijk, Canada, Roemenië, Polen en Thailand.
Bitdefender kan niet zeggen waar in de toeleveringsketen de malware wordt toegevoegd. Dat kan een contractfabrikant zijn, een firmware-integrator, een logistieke partner of iemand verderop in de keten.
Waarom de gebruikelijke controles niet werken
Bitdefenders punt is dat elke gebruikersgerichte verdediging ervan uitgaat dat de eigenaar bij de installatie aanwezig is: de installatievraag, de winkelcontrole, Play Protect en de mogelijkheid om daarna te verwijderen. Een door het platform ondertekende systeem-app haalt de eigenaar uit die lus, en deze schakelt Google Play uit vlak voor het installeren van een lading en schakelt het daarna weer in.
Een getroffen telefoon schoonmaken vraagt een opschoning op firmwareniveau of het uitschakelen van het onderdeel via ADB, en Bitdefender noemt geen van beide realistisch voor de meeste eigenaren. Volgens het bedrijf ligt de duurzame oplossing bij de fabrikanten en marktplaatsen die de firmware leveren en verkopen. Onze lezing is dat een beheeragent voor mobiele apparaten op dezelfde firmware draait, dus dat je er niet op moet rekenen dat hij een onderdeel verwijdert dat in de systeempartitie zit.
EU-regels richten zich op de fabrikant, maar de timing laat kopers onbeschermd. De meldplichten van de Cyber Resilience Act voor actief misbruikte kwetsbaarheden gelden sinds 11 september 2026, de hoofdverplichtingen vanaf 11 december 2027. Bitdefender zegt niet of de gevonden telefoons via legitieme kanalen in de EU zijn verkocht, alleen dat de detecties talrijk zijn in Frankrijk, Italië, Duitsland en Spanje.
Wat u in het telefoonbeleid zet
Schrijf een inkoopstandaard: bekende merken, een gepubliceerde periode van beveiligingsupdates en telefoons gekocht bij de fabrikant of een erkende wederverkoper. Zie heel goedkope kopieën van topmodellen als waarschuwingssignaal. Bitdefender merkt op dat modelnamen als S24 Ultra, S25 Ultra en S26 Ultra voorkomen als modelstrings die goedkope MediaTek-hardware doorgeeft.
Laat voor medewerkers die hun eigen telefoon meenemen alleen goedgekeurde modellen toe en hooguit onbekende goedkope toestellen op het gastenwifi. Als uw DNS- of firewalllogs doorzoekbaar zijn, zoek dan naar de commando- en payloadhosts uit Bitdefenders indicatorlijst, api.weatherlive[.]world en oss.showtimetool[.]com, en zie een treffer als reden om dat toestel te controleren.
Een pakketnaam is een aanwijzing, geen test. Bitdefender benadrukt dat de namen roteren en dat de gedeelde kern telt, dus vertrouw op hardware die u zelf koos en op logs die u kunt lezen, niet op een blokkeerlijst van appnamen.
Lees hierna: Google hielp zojuist mee de vendor lock-in te financieren die UALink moest voorkomen | Motorola doorbreekt het Pixel-monopolie van GrapheneOS
