Un logiciel malveillant surnommé Midnight Mimosa a été découvert dans le firmware de certains smartphones Android à bas prix avant leur vente aux consommateurs. Des chercheurs de Bitdefender ont repéré un composant suspect nommé com.android.system.lite sur des appareils utilisant des puces MediaTek. Ce module, affiché sous l’intitulé « Système » sans icône, dispose de privilèges système élevés, permettant à ses opérateurs d’installer ou de supprimer des applications à l’insu de l’utilisateur et de charger du code depuis leurs propres serveurs. Le logiciel transforme également certains appareils en proxys résidentiels, permettant à d’autres pirates d’acheminer leur trafic internet via l’adresse IP de l’appareil infecté. En deux ans, des milliers d’appareils répartis dans plus de 150 pays ont été touchés, avec la France, le Mexique et l’Italie parmi les plus affectés. Ce firmware malveillant a été retrouvé non seulement dans des téléphones contrefaits, mais aussi dans des applications liées aux serveurs de la campagne sur le Google Play Store. Les appareils infectés sont parfois commercialisés sous des noms comme « S25 Ultra » ou « i17 Pro Max », qui désignent en réalité des modèles MediaTek d’entrée de gamme sans aucun lien avec Samsung ou Apple. Les deux modèles les plus répandus sont le S200 X de Doogee et le KINGKONG X de Cubot. Les propriétaires de ces téléphones ont signalé sur le forum XDA la présence d’un package caché, com.Android.sys., qui réapparaît sous différents noms après avoir été supprimé. Le firmware est signé avec des certificats au nom du fabricant de tablettes Shenzhen Zediel, bien que les chercheurs n’aient aucune preuve de son implication. Il reste incertain à quel stade le code malveillant est intégré, les hypothèses incluant un intégrateur de firmware ou une entreprise logistique. Une fois le téléphone déballé, le module ne peut pas être retiré via les menus Android, car il est installé dans la partition système. Son élimination nécessiterait un nettoyage du firmware ou une désactivation via ADB, des opérations que la plupart des acheteurs ne savent pas effectuer. Les auteurs de cette campagne ont accordé au module un accès aux services d’accessibilité et aux SMS, ce qui permet de lire l’écran ou d’intercepter des codes à usage unique envoyés par message. Les chercheurs n’ont observé aucune utilisation de ces permissions, mais les opérateurs peuvent les activer à distance. Le module système ne diffuse pas de publicités, mais les pirates installent en arrière-plan de fausses applications météo ou de verrouillage, chacune intégrant un kit publicitaire légitime. Les réseaux publicitaires versent ensuite à ces applications des paiements pour des impressions et des clics simulés, sans interaction de l’utilisateur. Selon Bitdefender, il existerait au moins 32 applications de ce type, installées et désinstallées tour à tour pour rester aussi discrètes que possible. Les pirates appliquent le marqueur de sécurité conçu pour les écrans bancaires à leurs surfaces publicitaires, empêchant l’utilisateur de les capturer ou de les filmer. Avant chaque installation, ils désactivent le Play Store, qui héberge l’analyseur Play Protect, puis le réactivent une fois l’opération terminée. Ils falsifient également la source déclarée de l’application, ce qui donne l’illusion d’une installation depuis le Google Play.