Telefonen är smittad innan kartongen öppnas
Den 8 oktober rapporterade Bitdefender Labs om en kampanj kallad Midnight Mimosa, som körs på billiga Android-telefoner från flera märken byggda på MediaTek-plattformar. Den skadliga koden levereras i enhetens firmware, så den finns på telefonen innan ägaren slår på den första gången, och ägaren kan inte avinstallera den.
Dess huvudkomponent, ett systempaket kallat com.android.system.lite, körs med systembehörighet. Det låter den installera och ta bort appar i det tysta, ge behörigheter och ladda kod som operatörerna levererar på distans. Bitdefender hittade samma kärna under andra systemliknande namn, bland annat com.android.sys.prot, com.android.sys.gmsprot och com.android.sys.bcprot.
Pengarna kommer från bedrägeri och från att hyra ut telefonen. Operatörerna begår annons- och klickbedrägeri, samlar in enhets- och appdata och gör telefoner till residentiella proxynoder i botnät. Systemappen klickar inte själv på annonser: nedsläppta täckappar som väder-, applås- och OCR-verktyg laddar äkta annonser via ett legitimt annons-SDK i ett osynligt fönster.
Hur långt det har spridit sig
Bitdefenders siffror beskriver en kampanj med global räckvidd och stark europeisk närvaro.
| Fynd | Siffra |
|---|---|
| Förklädda partnerappar i den roterande familjen | Minst 32 |
| Appar på Google Play kopplade till samma servrar | 13, ingen nedladdningsbar nu |
| Observationsperiod | Ungefär två år |
| Länder med träffar | Fler än 150 |
| De sju länderna med störst andel enheter | Mexiko, Frankrike, Italien, USA, Tyskland, Brasilien, Spanien |
Inget enskilt land dominerar. Bitdefender läser de två tyngdpunkterna, Västeuropa och Amerika, som bilden av hårdvara som rör sig via internationella marknadsplatser online, inte som en regional distributionskanal. The Hacker News landslista omfattar också Storbritannien, Kanada, Rumänien, Polen och Thailand.
Bitdefender kan inte säga var i leveranskedjan den skadliga koden läggs till. Det kan vara en kontraktstillverkare, en firmwareintegratör, en logistikpartner eller någon längre ned i kedjan.
Varför de vanliga kontrollerna inte gäller
Bitdefenders poäng är att varje användarvänt försvar förutsätter att ägaren är med vid installationen: installationsfrågan, butikens granskning, Play Protect och möjligheten att avinstallera efteråt. En plattformssignerad systemapp tar bort ägaren ur den kretsen, och denna stänger av Google Play strax före installation av en nyttolast och slår på det igen efteråt.
Att rensa en drabbad telefon kräver en rensning på firmwarenivå eller att komponenten stängs av via ADB, och Bitdefender kallar ingetdera realistiskt för de flesta ägare. Den bestående lösningen ligger enligt bolaget hos de tillverkare och marknadsplatser som levererar och säljer firmware. Vår läsning är att en mobilhanteringsagent körs ovanpå samma firmware, så man bör inte lita på att den kan ta bort en komponent som bor i systempartitionen.
EU-regler siktar på tillverkaren, men tidsplanen lämnar köpare oskyddade. Cyber Resilience Acts rapporteringsplikt för aktivt utnyttjade sårbarheter gäller sedan den 11 september 2026, och huvudskyldigheterna från den 11 december 2027. Bitdefender säger inte om telefonerna som hittades såldes i EU via legitima kanaler, bara att träffarna är många i Frankrike, Italien, Tyskland och Spanien.
Vad som hör hemma i telefonpolicyn
Skriv en inköpsstandard: kända märken, en publicerad period för säkerhetsuppdateringar och telefoner köpta av tillverkaren eller en auktoriserad återförsäljare. Behandla mycket billiga imitationer av toppmodeller som en varningssignal. Bitdefender noterar att modellnamn som S24 Ultra, S25 Ultra och S26 Ultra förekommer som modellsträngar som billig MediaTek-hårdvara rapporterar.
För personal som tar med egen telefon, tillåt bara godkända modeller och högst okända billigenheter på gäst-wifi. Om era DNS- eller brandväggsloggar går att söka i, leta efter kommando- och nyttolastvärdarna i Bitdefenders indikatorlista, api.weatherlive[.]world och oss.showtimetool[.]com, och se en träff som skäl att granska enheten.
Ett paketnamn är en ledtråd, inget test. Bitdefender betonar att namnen roterar och att den delade kärnan är det som räknas, så lita på hårdvara ni själva valt och loggar ni kan läsa, inte på en blockeringslista över appnamn.
Läs vidare: Google hjälpte just till att finansiera den inlåsning UALink skulle undvika | Motorola bryter GrapheneOS Pixel-monopol
