Midnight Mimosa: Malware infiziert Ihr Telefon, bevor Sie es nutzen

Stellen Sie sich vor, Sie packen ein brandneues Smartphone aus, freuen sich darauf, es einzurichten, und stellen dann fest, dass es bereits kompromittiert ist. Dies ist keine dystopische Fantasie; es ist die beunruhigende Realität, die durch die Entdeckung der Midnight Mimosa Malware ans Licht gebracht wurde.

Sicherheitsforscher von Bitdefender haben eine weit verbreitete Malware-Kampagne namens Midnight Mimosa aufgedeckt, die in der Firmware Tausender preiswerter Android-Smartphones, hauptsächlich solcher mit MediaTek-Chips, vorinstalliert ist. Seit etwa zwei Jahren ist diese heimtückische Bedrohung in mehr als 150 Ländern verbreitet, mit erheblichen Konzentrationen in Mexiko, Frankreich und Italien, gefolgt von den Vereinigten Staaten, Deutschland, Brasilien und Spanien, so verschiedene Berichte. Im Gegensatz zu typischer Malware erfordert Midnight Mimosa keinen zweifelhaften Download oder einen versehentlichen Klick; sie ist in das Betriebssystem des Geräts eingebettet, bevor es überhaupt in die Hände des Verbrauchers gelangt, und agiert mit Systemberechtigungen, die ihre Entfernung mit herkömmlichen Mitteln praktisch unmöglich machen.

Die verborgenen Kosten von „billig“

Die Attraktivität eines preisgünstigen Smartphones ist unbestreitbar, da es Konnektivität und Funktionalität ohne einen Premium-Preis bietet. Doch wie die Midnight Mimosa-Kampagne zeigt, kann diese Erschwinglichkeit mit tiefgreifenden, verborgenen Kosten verbunden sein. Diese Malware befindet sich in der Systempartition und nutzt Plattformschlüssel, um als legitime Kernkomponente zu erscheinen, was bedeutet, dass sie nicht wie eine normale App deinstalliert werden kann. Selbst ein Zurücksetzen auf die Werkseinstellungen bietet möglicherweise keine vollständige Abhilfe, da die kompromittierte Firmware oft intakt bleibt, was zur Neuinstallation schädlicher Komponenten führt. Eine echte Behebung erfordert typischerweise technischere Lösungen, wie eine Firmware-Bereinigung oder die Deaktivierung der Komponente über Android Debug Bridge (ADB), Verfahren, die für den durchschnittlichen Benutzer weitgehend unzugänglich sind.

Zu den in Bitdefenders Telemetrie identifizierten Geräten gehören spezifische Modelle wie das Doogee S200 X und Cubot KINGKONG X, sowie generische gefälschte Modelle, die High-End-Geräte mit Namen wie S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra, i17 Pro Max oder iPadAirPro nachahmen. Es ist wichtig zu beachten, dass echte Samsung- und Apple-Geräte nicht in dieser Kampagne betroffen sind; es handelt sich hierbei um Imitationen. Diese Situation verdeutlicht eine kritische Schwachstelle in der Lieferkette, bei der die Integrität der Gerätesoftware lange vor Erreichen des Endbenutzers kompromittiert wird, oft ohne direkte Beteiligung oder Kenntnis des Originalgeräteherstellers.

Was Midnight Mimosa wirklich tut

Das Hauptziel von Midnight Mimosa scheint die finanzielle Bereicherung durch verschiedene illegale Aktivitäten zu sein. Die Malware installiert und entfernt still und heimlich eine wechselnde Reihe von Tarnanwendungen – die sich als harmlose Tools wie Wetter-Apps, App-Sperren oder Notiz-Apps ausgeben – die dann legitime Anzeigen über eingebettete SDKs laden. Diese Anzeigen werden oft in unsichtbaren Fenstern oder als Vollbild-Overlays angezeigt, wodurch betrügerische Impressionen und Klicks generiert werden, die Einnahmen aus Werbenetzwerken abziehen. Die Malware deaktiviert sogar temporär den Google Play Store, um Play Protect während dieser stillen Installationen zu umgehen, und reaktiviert ihn anschließend, um die Erkennung zu vermeiden.

Neben dem Anzeigenbetrug können die kompromittierten Geräte zu Residential-Proxy-Relay-Knoten umfunktioniert werden. Das bedeutet, dass das Smartphone eines Opfers Teil eines größeren Botnets werden kann, das den Internetverkehr anderer Personen über deren eigene Heimverbindung leitet und möglicherweise weitere bösartige Aktivitäten wie DDoS-Angriffe unterstützt. Obwohl Bitdefenders Tests bestätigten, dass die Infrastruktur Registrierungen akzeptierte, wurde kein aktives Traffic-Relaying beobachtet, was darauf hindeutet, dass das Potenzial besteht, auch wenn es während ihrer Untersuchung nicht vollständig ausgenutzt wurde. Darüber hinaus kann sich die Malware sensible Berechtigungen gewähren, einschließlich des Zugriffs auf Barrierefreiheitsdienste, Benachrichtigungen und SMS, obwohl bisher keine dokumentierten Beweise für deren Verwendung zum Datendiebstahl in dieser Kampagne beobachtet wurden.

Eine breitere Bedrohung über vorinstallierte Firmware hinaus

Die Midnight Mimosa-Kampagne reicht auch über vorinstallierte Firmware hinaus. Forscher entdeckten 13 Anwendungen, die derzeit im Google Play Store verfügbar sind und mit derselben Command-and-Control-Infrastruktur kommunizieren, die von der Firmware-Malware verwendet wird. Obwohl diese Play Store-Apps nicht über die erhöhten Systemprivilegien ihrer Firmware-Pendants verfügen, was bedeutet, dass sie keine anderen Anwendungen still und heimlich installieren können, betreiben sie dennoch Anzeigenbetrug, indem sie Anzeigen außerhalb ihrer eigenen Benutzeroberfläche anzeigen, selbst wenn das Telefon nicht aktiv verwendet wird. Dieser Befund deutet auf eine umfassendere und koordiniertere Anstrengung hin, die mehrere Infektionswege demonstriert und ein breiteres Risiko für ahnungslose Benutzer darstellt.

Dieser Vorfall unterstreicht eine harte Realität für Verbraucher: Der traditionelle Rat, verdächtige Downloads zu vermeiden und sich an offizielle App-Stores zu halten, reicht nicht mehr aus, wenn Malware auf der grundlegenden Ebene eines Geräts eingebettet ist. Für diejenigen, die vermuten, dass ihr Telefon kompromittiert sein könnte, ist die Suche nach professioneller Hilfe oder, in schwerwiegenden Fällen, in denen keine saubere Firmware verfügbar ist, der Ersatz des Geräts die pragmatischste Lösung. Midnight Mimosa erinnert uns eindringlich daran, dass im Streben nach erschwinglicher Technologie die Wachsamkeit bezüglich der Quelle und Integrität unserer Geräte noch nie so wichtig war.