Midnight Mimosa : Le malware qui infecte votre téléphone avant vous

Imaginez déballer un tout nouveau smartphone, impatient de le configurer, pour découvrir qu'il est déjà compromis. Ce n'est pas une fantaisie dystopique; c'est la réalité troublante mise en lumière par la découverte du malware Midnight Mimosa.

Les chercheurs en sécurité de Bitdefender ont découvert une campagne de malware omniprésente, baptisée Midnight Mimosa, qui est préinstallée dans le firmware de milliers de smartphones Android bon marché, principalement ceux fonctionnant avec des puces MediaTek. Active depuis environ deux ans, cette menace insidieuse s'est propagée dans plus de 150 pays, avec des concentrations significatives observées au Mexique, en France et en Italie, suivis des États-Unis, de l'Allemagne, du Brésil et de l'Espagne, selon divers rapports. Contrairement aux malwares typiques, Midnight Mimosa ne nécessite pas un téléchargement douteux ou une erreur de manipulation; il est intégré au système d'exploitation de l'appareil avant même qu'il n'atteigne les mains du consommateur, fonctionnant avec des privilèges de niveau système qui le rendent pratiquement impossible à supprimer par des moyens conventionnels.

Le coût caché du « bon marché »

L'attrait d'un smartphone économique est indéniable, offrant connectivité et fonctionnalités sans prix exorbitant. Pourtant, comme le révèle la campagne Midnight Mimosa, cette abordabilité peut s'accompagner d'un coût caché profond. Ce malware réside dans la partition système, exploitant des clés de plateforme pour apparaître comme un composant essentiel légitime, ce qui signifie qu'il ne peut pas être désinstallé comme une application ordinaire. Même une réinitialisation d'usine peut ne pas offrir une échappatoire complète, car le firmware compromis reste souvent intact, entraînant la réinstallation de composants malveillants. Une véritable remédiation nécessite généralement des solutions plus techniques, telles qu'un nettoyage au niveau du firmware ou la désactivation du composant via Android Debug Bridge (ADB), des procédures largement inaccessibles à l'utilisateur moyen.

Les appareils identifiés dans la télémétrie de Bitdefender incluent des modèles spécifiques comme le Doogee S200 X et le Cubot KINGKONG X, ainsi que des modèles contrefaits génériques qui imitent des appareils haut de gamme avec des noms tels que S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra, i17 Pro Max ou iPadAirPro. Il est important de noter que les appareils authentiques Samsung et Apple ne sont pas impliqués dans cette campagne; il s'agit d'imitations. Cette situation met en évidence une vulnérabilité critique de la chaîne d'approvisionnement, où l'intégrité du logiciel d'un appareil est compromise bien avant qu'il n'atteigne l'utilisateur final, souvent sans l'implication ou la connaissance directe du fabricant d'équipement d'origine.

Ce que fait réellement Midnight Mimosa

L'objectif principal de Midnight Mimosa semble être le gain financier par diverses activités illicites. Le malware fonctionne en installant et en supprimant silencieusement un ensemble rotatif d'applications de couverture – se faisant passer pour des outils inoffensifs comme des applications météorologiques, des bloqueurs d'applications ou des utilitaires de prise de notes – qui chargent ensuite des publicités légitimes via des SDK intégrés. Ces publicités sont souvent affichées dans des fenêtres invisibles ou des superpositions plein écran, générant des impressions et des clics frauduleux, siphonant ainsi les revenus des réseaux publicitaires. Le malware désactive même temporairement le Google Play Store pour contourner Play Protect pendant ces installations silencieuses, le réactivant ensuite pour éviter la détection.

Au-delà de la fraude publicitaire, les appareils compromis peuvent être transformés en nœuds de relais proxy résidentiels. Cela signifie que le smartphone d'une victime peut faire partie d'un botnet plus vaste, acheminant le trafic internet d'autres personnes via leur connexion domestique, aidant potentiellement à d'autres activités malveillantes comme les attaques DDoS. Bien que les tests de Bitdefender aient confirmé que l'infrastructure acceptait les enregistrements, aucun relais de trafic actif n'a été observé, indiquant que le potentiel demeure, même s'il n'a pas été entièrement exploité pendant leur enquête. De plus, le malware peut s'accorder des autorisations sensibles, y compris l'accès aux services d'accessibilité, aux notifications et aux SMS, bien qu'aucune preuve documentée de leur utilisation pour le vol de données n'ait été observée dans cette campagne jusqu'à présent.

Une menace plus large au-delà du firmware préinstallé

La campagne Midnight Mimosa étend également sa portée au-delà du firmware préinstallé. Les chercheurs ont découvert 13 applications actuellement disponibles sur Google Play qui communiquent avec la même infrastructure de commande et de contrôle utilisée par le malware au niveau du firmware. Bien que ces applications du Play Store n'aient pas les privilèges système élevés de leurs homologues du firmware, ce qui signifie qu'elles ne peuvent pas installer silencieusement d'autres applications, elles se livrent néanmoins à la fraude publicitaire, affichant des publicités en dehors de leur propre interface, même lorsque le téléphone n'est pas activement utilisé. Cette découverte suggère un effort plus étendu et coordonné, démontrant de multiples vecteurs d'infection et présentant un risque plus large pour les utilisateurs inattentifs.

Cet incident souligne une dure réalité pour les consommateurs: le conseil traditionnel d'éviter les téléchargements suspects et de s'en tenir aux magasins d'applications officiels ne suffit plus lorsque le malware est intégré au niveau fondamental d'un appareil. Pour ceux qui soupçonnent que leur téléphone pourrait être compromis, il peut être plus pragmatique de demander l'aide d'un professionnel ou, dans les cas graves où aucun firmware propre n'est disponible, d'envisager le remplacement de l'appareil. Midnight Mimosa nous rappelle avec force que dans la quête d'une technologie abordable, la vigilance concernant la source et l'intégrité de nos appareils n'a jamais été aussi critique.