Scoperta del malware Midnight Mimosa
Un team di sicurezza di Bitdefender ha rilevato un nuovo malware, denominato Midnight Mimosa, inserito direttamente nel firmware di numerosi smartphone Android a basso costo. L’infezione è stata riscontrata soprattutto su dispositivi equipaggiati con chip MediaTek, una scelta comune tra i produttori di fascia economica. Le analisi indicano che il codice malevolo è stato inserito nella catena di fornitura, probabilmente in fase di produzione, prima della distribuzione al consumatore finale.
Dispositivi più colpiti
Le segnalazioni raccolte sul forum XDA mostrano che i modelli più frequentemente infetti sono Cubot KingKong X e Doogee S200 X. Tuttavia, Bitdefender ha individuato Midnight Mimosa su migliaia di smartphone in più di 150 paesi. I tre mercati più colpiti sono il Messico, la Francia e l’Italia, dove gli utenti hanno riportato problemi di performance e traffico dati anomalo.
Funzionamento del trojan
Midnight Mimosa è nascosto nella partizione di sistema e si presenta come un’app legittima denominata “System” nell’elenco delle applicazioni. Grazie ai privilegi di sistema, il malware non può essere rimosso con le consuete procedure di disinstallazione. La sua prima azione è quella di disattivare temporaneamente Google Play Store, impedendo a Play Protect di rilevare le attività malevole. Successivamente, il trojan contatta un server remoto e scarica ulteriori 32 app fasulle che generano profitti attraverso clic automatizzati su pubblicità e annunci invisibili.
Frode pubblicitaria e installazioni silenziose
Le app scaricate agiscono in background, simulando interazioni dell’utente per aumentare il fatturato pubblicitario. Poiché le operazioni avvengono senza alcun intervento dell’utilizzatore, il consumo di batteria e di traffico dati aumenta notevolmente, spesso senza che l’utente ne sia consapevole. Il risultato è un danno economico sia per il proprietario del dispositivo sia per gli inserzionisti, che pagano per visualizzazioni false.
Trasformazione in proxy residenziale
Un’altra funzione di Midnight Mimosa è la capacità di convertire lo smartphone in un proxy residenziale. Il dispositivo viene collegato a host controllati dai cybercriminali, che indirizzano il traffico internet attraverso di esso. Questo permette agli attaccanti di mascherare la provenienza di attacchi informatici, rendendo più difficile il tracciamento delle attività illecite.
Difficoltà di rimozione
Rimuovere Midnight Mimosa richiede operazioni avanzate, come la pulizia completa del firmware o l’uso di ADB (Android Debug Bridge) per disattivare i componenti malevoli. Tali procedure sono riservate a utenti esperti o a laboratori di riparazione certificati. Per la maggior parte dei consumatori, la soluzione più pratica consiste nel smaltire il dispositivo e sostituirlo con un modello di un produttore riconosciuto per la sua sicurezza.
Raccomandazioni per gli utenti
- Evita l’acquisto di smartphone di marche sconosciute o poco diffuse.
- Preferisci dispositivi con chipset Qualcomm o con certificazione di sicurezza da parte di Google (Android One, Android Go).
- Verifica sempre la presenza di aggiornamenti di sicurezza ufficiali prima di utilizzare il telefono.
- Nel dubbio, utilizza strumenti di verifica firmware o rivolgiti a centri assistenza autorizzati.
In sintesi, il caso di Midnight Mimosa evidenzia come la vulnerabilità della catena di fornitura possa trasformare un semplice smartphone economico in un veicolo per attività criminali. La prudenza nella scelta del produttore e la consapevolezza dei rischi associati a dispositivi non certificati rappresentano le prime linee di difesa contro questo tipo di minacce.