Un malware battezzato Midnight Mimosa è stato individuato dai ricercatori di Bitdefender dentro il firmware di numerosi smartphone Android a basso costo. Il codice malevolo, già presente al primo avvio del telefono, è in grado di scaricare applicazioni senza che l’utente se ne accorga, portare avanti schemi pubblicitari fraudolenti e convertire i terminali in proxy residenziali. L’Italia figura tra le nazioni più affette dal fenomeno. Poiché eliminarlo risulta assai difficile, l’opzione più ragionevole è disfarsi del telefono.
Approfondisci: BitDefender Mobile Security: l’antivirus gratuito per Android
Contagio nella catena di fornitura, l’Italia tra i paesi più colpiti
Secondo i ricercatori, l’infiltrazione è avvenuta lungo la catena di fornitura, anche se il momento esatto resta ignoto: spesso l’iniezione avviene direttamente in fabbrica, prima che i dispositivi vengano distribuiti. I ricercatori dichiarano che “Il malware è stato installato nella catena di fornitura, probabilmente in fabbrica”. Un tratto comune accomuna tutti i terminali compromessi: il processore MediaTek. Dalle segnalazioni raccolte sul forum XDA emerge che i modelli più coinvolti sono il Cubot KingKong X e il Doogee S200 X. Complessivamente, Midnight Mimosa è stato rilevato su migliaia di smartphone sparsi in oltre 150 paesi, con Messico, Francia e Italia in cima alla classifica delle zone più colpite.
Come il malware si nasconde e genera profitti
Midnight Mimosa si annida nella partizione di sistema e si traveste da pacchetti Android autentici: uno di questi compare nell’elenco delle applicazioni con il nome System. Questi componenti girano con privilegi elevati e la consueta procedura di disinstallazione non li tocca. Bitdefender ha accertato che funzionano come “enabler”: si collegano a un server remoto e prelevano altre 32 app fasulle, sfruttate per guadagnare dall’advertising tramite interazioni automatiche, senza alcun intervento umano, e annunci invisibili all’utente.
Play Store spento e smartphone trasformato in proxy
Prima di procedere con le installazioni, il malware disattiva Google Play Store per non farsi intercettare da Play Protect; al termine dell’operazione il negozio ufficiale viene riacceso. Un’altra capacità temibile è quella di trasformare il telefono in proxy residenziale: il dispositivo viene agganciato a host specifici che smistano il traffico, permettendo ai criminali informatici di mascherare l’origine dei loro attacchi.
Rimozione difficile: la soluzione è cambiare telefono
Per sradicare l’infezione serve ripulire il firmware oppure neutralizzare i componenti attraverso ADB (Android Debug Bridge), un’operazione alla portata soltanto di utenti esperti. Il consiglio pratico dei ricercatori è gettare via lo smartphone e orientarsi su un modello di un produttore più affidabile, evitando in futuro l’acquisto di dispositivi di marche sconosciute.
