Midnight Mimosa: il malware che infetta il tuo smartphone prima ancora che lo faccia tu

Immagina di scartare uno smartphone nuovo di zecca, entusiasta di configurarlo, solo per scoprire che è già compromesso. Non è una fantasia distopica; è la sconcertante realtà portata alla luce dalla scoperta del malware Midnight Mimosa.

I ricercatori di sicurezza di Bitdefender hanno scoperto una campagna malware pervasiva, soprannominata Midnight Mimosa, che viene preinstallata nel firmware di migliaia di smartphone Android economici, prevalentemente quelli con chip MediaTek. Attiva da circa due anni, questa insidiosa minaccia si è diffusa in oltre 150 paesi, con significative concentrazioni osservate in Messico, Francia e Italia, seguite da Stati Uniti, Germania, Brasile e Spagna, secondo vari rapporti [Fonte 1, Fonte 2, Fonte 5]. A differenza del malware tipico, Midnight Mimosa non richiede un download sospetto o un tocco sbagliato; è integrato nel sistema operativo del dispositivo prima ancora che arrivi nelle mani del consumatore, operando con privilegi a livello di sistema che lo rendono praticamente impossibile da rimuovere con mezzi convenzionali.

Il costo nascosto di "economico"

L'attrattiva di uno smartphone economico è innegabile, offrendo connettività e funzionalità senza un prezzo premium. Eppure, come rivela la campagna Midnight Mimosa, questa convenienza può avere un costo profondo e nascosto. Questo malware risiede nella partizione di sistema, sfruttando le chiavi della piattaforma per apparire come un componente centrale legittimo, il che significa che non può essere disinstallato come una normale app [Fonte 1, Fonte 6]. Anche un ripristino delle impostazioni di fabbrica potrebbe non fornire una via di fuga completa, poiché il firmware compromesso spesso rimane intatto, portando alla reinstallazione di componenti malevoli. Una vera soluzione richiede tipicamente soluzioni più tecniche, come una pulizia a livello di firmware o la disabilitazione del componente tramite Android Debug Bridge (ADB), procedure in gran parte inaccessibili all'utente medio.

I dispositivi identificati nella telemetria di Bitdefender includono modelli specifici come Doogee S200 X e Cubot KINGKONG X, insieme a modelli generici contraffatti che imitano dispositivi di fascia alta con nomi come S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra, i17 Pro Max o iPadAirPro [Fonte 1, Fonte 2, Fonte 5, Fonte 7, Fonte 8]. È importante notare che i dispositivi originali Samsung e Apple non sono implicati in questa campagna; si tratta di imitazioni. Questa situazione evidenzia una vulnerabilità critica nella catena di approvvigionamento, dove l'integrità del software di un dispositivo viene compromessa molto prima che raggiunga l'utente finale, spesso senza il coinvolgimento o la conoscenza diretta del produttore originale.

Cosa fa realmente Midnight Mimosa

L'obiettivo primario di Midnight Mimosa sembra essere il guadagno finanziario attraverso varie attività illecite. Il malware opera installando e rimuovendo silenziosamente una serie rotante di applicazioni di copertura – che si presentano come strumenti innocui come app meteo, blocco app o utilità per prendere appunti – le quali caricano poi annunci legittimi tramite SDK incorporati [Fonte 1, Fonte 6]. Questi annunci vengono spesso visualizzati in finestre invisibili o overlay a schermo intero, generando impressioni e clic fraudolenti, sottraendo così entrate dalle reti pubblicitarie [Fonte 1, Fonte 2, Fonte 7]. Il malware disabilita temporaneamente persino il Google Play Store per aggirare Play Protect durante queste installazioni silenziose, riattivandolo in seguito per evitare il rilevamento [Fonte 2, Fonte 5, Fonte 7].

Oltre alla frode pubblicitaria, i dispositivi compromessi possono essere trasformati in nodi relè proxy residenziali. Ciò significa che lo smartphone di una vittima può diventare parte di una botnet più grande, instradando il traffico internet di altre persone attraverso la loro connessione domestica, potenzialmente favorendo ulteriori attività malevole come attacchi DDoS [Fonte 1, Fonte 5, Fonte 6]. Sebbene i test di Bitdefender abbiano confermato che l'infrastruttura accettava le registrazioni, non è stato osservato un effettivo reindirizzamento del traffico, indicando che il potenziale rimane, anche se non completamente sfruttato durante la loro indagine [Fonte 1, Fonte 7]. Inoltre, il malware può concedersi autorizzazioni sensibili, incluso l'accesso ai servizi di accessibilità, notifiche e SMS, sebbene finora non siano state osservate prove documentate del loro utilizzo per il furto di dati in questa campagna [Fonte 1, Fonte 5].

Una minaccia più ampia oltre il firmware preinstallato

La campagna Midnight Mimosa estende la sua portata anche oltre il firmware preinstallato. I ricercatori hanno scoperto 13 applicazioni attualmente disponibili su Google Play che comunicano con la stessa infrastruttura di comando e controllo utilizzata dal malware a livello di firmware [Fonte 1, Fonte 2, Fonte 6, Fonte 7]. Sebbene queste app del Play Store manchino dei privilegi di sistema elevati delle loro controparti firmware, il che significa che non possono installare silenziosamente altre applicazioni, si impegnano comunque in frodi pubblicitarie, visualizzando annunci al di fuori della propria interfaccia, anche quando il telefono non è attivamente in uso [Fonte 2, Fonte 7]. Questa scoperta suggerisce uno sforzo più esteso e coordinato, dimostrando molteplici vettori di infezione e ponendo un rischio più ampio per gli utenti ignari.

Questo incidente sottolinea una dura realtà per i consumatori: il consiglio tradizionale di evitare download sospetti e attenersi ai negozi di app ufficiali non è più sufficiente quando il malware è incorporato a livello fondamentale di un dispositivo. Per coloro che sospettano che il proprio telefono possa essere compromesso, cercare aiuto professionale o, in casi gravi in cui non è disponibile un firmware pulito, considerare la sostituzione del dispositivo potrebbe essere la soluzione più pragmatica [Fonte 5, Fonte 8]. Midnight Mimosa serve come un potente promemoria che nella ricerca di tecnologia a prezzi accessibili, la vigilanza riguardo alla fonte e all'integrità dei nostri dispositivi non è mai stata così critica.