Compri uno smartphone nuovo con in regalo un virus! Sono migliaia gli Android infetti

I ricercatori di Bitdefender hanno scoperto il malware Midnight Mimosa preinstallato nei firmware di migliaia di smartphone Android economici in oltre 150 paesi. Il malware, che permette di installare applicazioni furtivamente e compiere frodi pubblicitarie, è stato rilevato su dispositivi con chipset MediaTek e smartphone contraffatti.

I ricercatori di Bitdefender hanno identificato una campagna dannosa denominata Midnight Mimosa, che ha colpito migliaia di smartphone Android economici in più di 150 paesi. Gli esperti hanno trovato un malware integrato direttamente nel firmware dei dispositivi, permettendo ai malintenzionati di installare nuovi applicativi in modo furtivo, compiere frodi pubblicitarie e trasformare gli smartphone delle vittime in proxy residenti.

Secondo i dati degli esperti, questa campagna è attiva da almeno due anni, con il maggior numero di dispositivi infetti presenti in Messico, Francia, Italia, Stati Uniti, Germania, Brasile e Spagna.

Più spesso, l’infezione viene rilevata su dispositivi Android economici con chipset MediaTek (inclusi Doogee S200 X, Cubot KINGKONG X), nonché su smartphone contraffatti che imitano i dispositivi Samsung e Apple.

I ricercatori ritengono che il malware entri nei firmware degli smartphone a causa della compromissione della catena di approvvigionamento, ma al momento non è noto in quale fase specifica avvenga l’infezione e chi possa essere dietro questa attività dannosa.

A differenza dei comuni trojan Android, Midnight Mimosa è presente sui dispositivi direttamente “dalla scatola” e si maschera come componenti di sistema con nomi come com.android.system.lite e com.android.sys.prot. Poiché queste applicazioni sono firmate e hanno privilegi elevati, non possono essere rimosse con la procedura standard di disinstallazione.

Ad esempio, nel forum XDA, i proprietari di smartphone Cubot e Doogee si sono lamentati del fatto che applicazioni sospette sui loro dispositivi vengono ripristinate anche dopo la rimozione. Uno dei proprietari di Doogee Fire 3 Max ha scritto che l’infezione è apparsa dopo un aggiornamento ufficiale del firmware ed è scomparsa solo dopo il rollback a una versione precedente.

Grazie ai privilegi elevati, tale malware è in grado di installare e rimuovere applicazioni senza il consenso del proprietario del dispositivo, concedere loro nuovi permessi e eseguire codice arbitrario ricevuto dai propri operatori.

I ricercatori hanno identificato circa 32 applicazioni che vengono distribuite tramite Midnight Mimosa. Tutte si mascherano come programmi innocui come previsioni del tempo, gestori di file, strumenti per il riconoscimento del testo, editor audio e così via.

La principale funzione di queste applicazioni è il frode pubblicitaria. Ad esempio, utilizzano un SDK pubblicitario legittimo che carica annunci reali dalle reti pubblicitarie, ma invece di mostrarli all’utente, le applicazioni aprono finestre invisibili sopra altre programmi. Le reti pubblicitarie registrano comunque tali visualizzazioni come autentiche, anche se il proprietario dello smartphone non vede la pubblicità.

Si nota che alcune applicazioni interagiscono automaticamente con gli annunci, aumentando il numero di clic. In questo modo, i malintenzionati ottengono guadagni dalla pubblicità che gli utenti non visualizzano effettivamente.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance