Midnight Mimosa: il malware che abita nel firmware prima che si accenda il

Il rapporto tecnico di Bitdefender dello scorso 8 ottobre 2026 documenta una campagna di malware preinstallato, denominata Midnight Mimosa, che colpisce dispositivi Android low-cost venduti su marketplace online. Il telefono è compromesso a livello firmware prima che l'utente lo accenda per la prima volta. Con privilegi di sistema garantiti dalla firma platform, il malware non può essere rimosso né con un factory reset né con gli strumenti ordinari di disinstallazione.

La firma platform: un privilegio che elude ogni difesa utente-centrata

Il cuore tecnico della minaccia sta nella firma del certificato platform. Su Android, le app firmate con il certificato platform condividono lo stesso livello di trust del sistema operativo stesso. Questo significa che il malware Midnight Mimosa non richiede exploit post-acquisto: risiede nella partizione di sistema, riceve aggiornamenti OTA (Over-The-Air) controllati dagli operatori, e sopravvive a ogni reset.

Secondo il report di Bitdefender, il malware "runs as the system user" con capacità di installare e rimuovere app silenziosamente, concedere permessi, e caricare codice arbitrario da remoto. La fonte primaria sottolinea esplicitamente che "every user-facing defense had already been bypassed by the time the phone was switched on".

Meccanismi di evasione: Play Protect spento e install source falsificata

Midnight Mimosa dimostra conoscenza approfondita dei controlli di sicurezza Android. Prima di ogni installazione di payload, il malware disabilita temporaneamente l'app Google Play Store (com.android.vending), poi la riabilita immediatamente dopo. Questa sequenza, documentata sia da Bitdefender che da SecurityWeek, annulla il rilevamento da parte di Play Protect per la durata dell'operazione.

Il meccanismo si completa con la falsificazione dell'origine installazione: alcuni payload registrano Google Play come source pur mancando della firma server-side 'frosting' che Google utilizza per autenticare le installazioni genuine. La combinazione crea un'evidenza contraffatta che rende difficile il traceback forense.

Ad fraud e proxyware: il doppio volto della monetizzazione

La campagna non si limita alla persistenza. Bitdefender ha identificato almeno 32 app 'cover' che caricano SDK pubblicitari legittimi generando finestre con flag secure non catturabili da screenshot — il che produce click sintetici invisibili all'utente. In parallelo, il payload com.mobile.applock.en funziona come proxy TCP sulla porta 6000, arruolando i dispositivi in una rete residenziale per attività di botnet.

Security Affairs e Hackread confermano che il traffico proxy ruota attraverso quattro domini diversi, rendendo il blocco DNS insufficiente come unica contromisura. La fonte primaria non quantifica il ricavo generato, ma la struttura ibrida — ad fraud più proxyware — indica un'operazione a scala industriale.

I modelli colpiti: tra contraffazione flagship e supply-chain MediaTek

I dispositivi più frequenti nell'osservazione di Bitdefender sono il Doogee S200 X e il Cubot KINGKONG X. Accanto a questi, emergono però anche terminali con nomi flagship contraffatti: i17 Pro Max, S25 Ultra, S24 Ultra, Note 18 Ultra. Android Police precisa che Samsung e Apple non sono coinvolte: i nomi sono riutilizzati da produttori non autorizzati per attrarre acquirenti su marketplace.

Su alcuni dispositivi è stato rilevato un certificato di firma platform associato a Shenzhen Zediel Co., Ltd. Bitdefender avverte tuttavia che questo dato "does not prove the company wrote or distributed the malware". Il punto esatto di inserimento nella supply chain — ODM, integratore firmware, partner logistico — rimane sconosciuto.

"The phone was compromised before the user turned it on: the rise of Midnight Mimosa"

13 app su Google Play e la catena di certificati

Un elemento particolarmente disturbante riguarda il corridoio di distribuzione secondaria. Bitdefender ha identificato 13 app presenti su Google Play Store che condividono lo stesso codice ad-fraud di Midnight Mimosa. Queste app sono firmate con 13 certificati diversi, distribuiti attraverso due account sviluppatore: 'fivedev' e 'CPS Developer'.

La molteplicità dei certificati solleva interrogativi sulla struttura operativa: se trattasi di un singolo attore che frammenta la propria impronta, o di una rete di affiliazione con accesso condiviso al codebase. Il dossier non risolve questo punto.

Cosa fare adesso

Bitdefender raccomanda esplicitamente la sostituzione del dispositivo o l'intervento del vendor per i modelli confermati infetti. La rimozione richiede il flash del firmware o l'accesso ADB con privilegi elevati, procedure non realistiche per il consumatore medio.

Per chi ha acquistato dispositivi Doogee S200 X, Cubot KINGKONG X o modelli con nomi contraffatti i17 Pro Max, S25 Ultra, S24 Ultra, Note 18 Ultra su marketplace online, la verifica passa attraverso questi indicatori: presenza dei pacchetti com.android.system.lite o com.android.sys.prot nelle app di sistema; connessioni DNS verso api.weatherlive.world; traffico TCP in uscita sulla porta 6000. Nessuno di questi indicatori è rimovibile senza accesso firmware.

Per gli utenti che non possono verificare tecnicamente il dispositivo, la raccomandazione specifica del report è evitare l'acquisto di telefoni low-cost da vendor non autorizzati che utilizzano nomi flagship contraffatti. Il prezzo scontato non compensa la compromissione irreversibile a livello sistema.

Perché è importante

Il rapporto Bitdefender non documenta misure correttive specifiche che l'utente possa applicare autonomamente. La rimozione richiede intervento a livello firmware o tramite ADB, procedure non realistiche per il consumatore medio. La fonte citata raccomanda esplicitamente la sostituzione del dispositivo o l'intervento del vendor.

Il dossier non specifica se i permessi Accessibility, Notification Access e SMS concessi al malware siano stati effettivamente utilizzati in produzione oltre che assegnati. Bitdefender segnala di non aver osservato l'uso attivo di questi permessi durante l'analisi, ma la loro presenza nel manifesto indica capacità potenziale.

Resta inoltre ignota la lista completa dei modelli affetti e l'estensione esatta della rete proxyware attiva. Non emergono sovrapposizioni infrastrutturali che colleghino gli operatori di Midnight Mimosa ad attori di minaccia noti allo stato attuale.

FAQ

Può un antivirus standard rilevare Midnight Mimosa?

No, se il malware è attivo con privilegi di sistema può disabilitare o eludere i controlli runtime. La firma platform lo colloca al di fuori del perimetro di sicurezza utente-centrata.

Un factory reset elimina la minaccia?

No. Il malware risiede nella partizione di sistema, che il factory reset non tocca. La rimozione richiede il flash del firmware o l'accesso ADB con privilegi elevati.

I dispositivi sono tutti cinesi?

I modelli identificati sono prodotti da ODM cinesi, ma la distribuzione è globale: oltre 150 paesi con concentrazione in Messico, Francia e Italia. La vendita avviene principalmente tramite marketplace online.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.helpnetsecurity.com/2026/10/12/midnight-mimosa-malware-cheap-android-phones/
• https://www.securityweek.com/pre-baked-firmware-malware-hits-budget-android-devices-in-150-countries/
• https://hackread.com/midnight-mimosa-malware-preinstalled-android-phones/
• https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html
• https://www.androidpolice.com/this-android-malware-can-reach-your-phone-before-you-ever-use-it/
• https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
• https://www.helpnetsecurity.com/2025/09/30/low-cost-android-devices-security-risks/
• https://podcast.securityweek.com/