Midnight Mimosa : téléphones Android pas chers avec un trojan proxy dans le firmware. Comment vérifier la ferme

Le 8 octobre 2026, Bitdefender Labs a publié une analyse de la campagne Midnight Mimosa : des smartphones Android bon marché équipés de puces MediaTek sortent de l'usine avec du code malveillant directement dans la partition système du firmware. Le code affiche des publicités invisibles, installe et désinstalle des applications sans autorisation, et l'un de ses modules enregistre le téléphone sur un réseau de proxy résidentiels. Les chercheurs ont compté des milliers d'appareils infectés dans plus de 150 pays en environ deux ans. Il est impossible de supprimer l'infection par des moyens ordinaires.

Pour l'acheteur ordinaire, c'est une histoire de « ne pas acheter de clones Galaxy à des prix suspectement bas ». Pour ceux qui gèrent des fermes de téléphones pour le multi-comptage, le SMM, les tests d'applications ou des proxies mobiles faits maison, le risque est plus concret. L'achat en gros de smartphones Android bon marché crée précisément ce type de ferme. Nous allons examiner ci-dessous ce qui a été trouvé, les risques pour la ferme et comment vérifier vos appareils.

Ce qui a été trouvé dans Midnight Mimosa

La campagne a été détectée par le système de détection d'anomalies d'application de Bitdefender. Il a été alerté par l'application système com.android.system.lite avec la signature « System », qui installait et désinstallait silencieusement d'autres programmes. Il s'est ensuite avéré qu'elle était intégrée dans le firmware et signée par un certificat de plateforme. Par conséquent, elle dispose de droits système : installation et suppression de paquets, attribution de permissions, modification des paramètres protégés.

La chaîne est organisée en plusieurs étapes :

• Le chargeur de démarrage (com.android.system.lite et des noms similaires : com.android.sys.prot, com.android.sys.gmsprot) avec une bibliothèque native libeasy.so. Elle déchiffre le framework caché à l'intérieur de l'APK.
• Le framework caché télécharge des plugins depuis le serveur de contrôle et exécute du code reçu à distance.
• Les plugins sont responsables de la fraude publicitaire, de l'installation silencieuse d'applications « partenaires » et du WebView intégré.
• Les applications de couverture : météo, bloqueur d'applications, notes, reconnaissance de texte. Bitdefender a compté environ 32 de ces programmes.

Avant chaque installation silencieuse, le malware exécute pm disable com.android.vending, c'est-à-dire qu'il désactive Google Play, puis le réactive. Les chercheurs supposent que cela empêche la vérification de Play Protect, bien que cet effet ne soit pas confirmé. Une partie des échantillons falsifie également l'enregistrement de la source d'installation, et l'application semble avoir été téléchargée depuis Google Play.

Argent : publicité invisible

Les revenus principaux proviennent de la fraude publicitaire. Les annonces s'affichent dans des fenêtres au-dessus d'autres applications, même lorsque le téléphone est inactif. Ces fenêtres sont marquées comme protégées, donc les captures d'écran ou les enregistrements d'écran ne les capturent pas. La fréquence des « clics » est définie par une configuration distante, et les clics sont simulés par logiciel. 60 secondes après l'affichage, un événement fictif de « conversion » est envoyé. Les revenus vont aux applications de couverture, qui ont de véritables SDK publicitaires.

Module proxy : le téléphone comme nœud de sortie

Pour notre sujet, l'application principale est com.mobile.applock.en, qui se nomme « Locket ». Elle n'a pas d'interface ni de publicité, et n'a que les permissions d'accès à Internet et à l'état du réseau. Selon Bitdefender, elle fait ce qui suit :

1. ouvre une connexion TCP « brute » avec le serveur de contrôle sur le port 6000;
2. envoie l'empreinte de l'appareil : modèle, version d'Android, SDK, ID de build et marque;
3. reçoit du serveur une liste d'adresses au format « hôte, port » et un intervalle de sondage;
4. pour chaque adresse, construit un tunnel et redirige le trafic étranger dans les deux sens.

En d'autres termes, quelqu'un d'autre accède à Internet via votre IP et votre carte SIM. Il est nécessaire de préciser que Bitdefender a confirmé que l'infrastructure accepte l'enregistrement des téléphones. Cependant, un appareil de test fraîchement enregistré n'a pas reçu de tâches de retransmission, et le serveur de contrôle, qui a été vu en ligne, a ensuite été reclassé en sinkhole. La retransmission active du trafic n'a pas encore été prouvée. Cependant, le mécanisme est prêt, et il peut être activé par une seule commande depuis le serveur.

Quels appareils sont concernés

• Chipset : MediaTek.
• Modèles mentionnés : Doogee S200 X et Cubot KINGKONG X. Le propriétaire de Cubot a décrit sur le forum XDA un paquet caché com.android.sys.*, qui revenait après suppression. Selon un rapport, une mise à jour officielle du firmware a réintroduit le malware.
• Faux flagships : dans les firmwares, on trouve des noms tels que S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max et similaires. Ce sont des clones bon marché de Samsung et d'Apple, que l'on trouve en abondance sur des marketplaces comme AliExpress.
• Géographie : le plus grand nombre d'infections a été observé au Mexique, en France et en Italie, suivi des États-Unis, d'Allemagne, du Brésil, d'Espagne, et ensuite une longue traîne à travers l'Afrique, l'Asie du Sud-Est et le Moyen-Orient.

Une partie des firmwares est signée par le certificat CN=ZED, L=ShenZhen, qui est lié à Shenzhen Zediel. Les chercheurs précisent que cela ne prouve pas la participation de l'entreprise. Qui et à quel stade de la chaîne d'approvisionnement a modifié le firmware reste inconnu. Selon la presse hispanophone, Doogee et Cubot ont déjà publié des correctifs, mais n'ont pas expliqué comment le code a été intégré dans le firmware.

Séparément, Bitdefender a trouvé dans Google Play 13 applications avec le même code publicitaire. Elles se connectent à la même infrastructure, mais n'ont pas de droits système. Elles ont été publiées sous au moins deux comptes de développeurs, fivedev et CPS Developer.

Pourquoi cela pose problème spécifiquement pour les fermes de téléphones

Ce n'est pas le premier cas de ce type. Des chaînes similaires ont été trouvées dans des autoradios avec un updater compromis et dans des box Android. Maintenant, la liste comprend des smartphones ordinaires, qui sont justement achetés en lots. Quelles en sont les conséquences :

• Trafic étranger sur votre IP. Si le module proxy commence à rediriger le trafic, votre IP mobile apparaîtra dans les logs des sites aux côtés de spam, de tentatives de piratage de mots de passe et de scraping. Les systèmes anti-fraude des plateformes évaluent la réputation de l'adresse, et les comptes de la ferme commenceront à subir des vérifications et des bans sans raison apparente.
• Consommation de trafic et de batterie. La publicité invisible et les tunnels consomment le forfait mobile et la charge. Dans une ferme avec des dizaines d'appareils, cela représente des sommes significatives.
• Comptes liés. Le malware installe des applications sur commande et collecte l'empreinte de l'appareil. Dans une ferme où chaque téléphone doit apparaître comme une personne distincte, un logiciel supplémentaire avec un serveur de contrôle commun crée des liens indésirables entre les appareils.
• Accès aux SMS et fonctionnalités spéciales. Le module système demande des permissions d'accessibilité, d'accès aux notifications et aux SMS, et peut se les attribuer lui-même. Lors de l'analyse de leur utilisation, aucune anomalie n'a été remarquée, mais sur un téléphone qui reçoit des codes de confirmation pour des comptes de travail, de tels droits sont dangereux.
• La réinitialisation ne résout pas le problème. Le composant se trouve dans la partition système, donc une réinitialisation aux paramètres d'usine ramène le téléphone à son état infecté.

Comment vérifier vos téléphones : liste de contrôle

Bitdefender recommande de se baser non pas sur les noms de paquets, mais sur le noyau stable (libeasy.so, cn.kw.lib.hex, domaine api.weatherlive.world), car les noms changent. Sans scanner antivirus, cela est difficile, mais un premier filtrage via ADB prend une minute par téléphone.

1. Activez le débogage USB et connectez le téléphone à un ordinateur avec adb.
2. Trouvez des paquets système suspects :
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Un Android ordinaire ne contient pas de tels noms. Toute correspondance est un motif pour isoler l'appareil.
3. Cherchez des applications de couverture :
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Vérifiez la source d'installation du paquet suspect :
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Si com.android.vending y est mentionné et que vous n'avez pas installé l'application, l'enregistrement pourrait avoir été falsifié.
5. Examinez les connexions réseau. Le port 6000 est indiqué par l'hexadécimal :1770 dans la colonne d'adresse distante : adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Si l'accès à ces fichiers est fermé, vérifiez les connexions sur le routeur de la ferme.
6. Essayez de désactiver le composant pour l'utilisateur : adb shell pm disable-user --user 0 <nom_du_paquet>. C'est le chemin via ADB dont parle Bitdefender. Sur certaines firmwares, les paquets système ne peuvent pas être désactivés de cette manière, et c'est normal. Cela signifie que l'appareil doit être reflashé avec un firmware officiel propre ou mis hors service.
7. Vérifiez le firmware auprès du fabricant. Si un correctif est sorti, installez-le, puis répétez les étapes 2 à 5 : selon les rapports des propriétaires, la mise à jour a parfois réintroduit le malware.

Niveau réseau : fermez la sortie de la ferme

Il est utile de garder même les téléphones apparemment propres derrière un routeur avec une liste blanche. Autorisez uniquement les ports et les directions réellement nécessaires à vos applications : HTTPS vers les sites nécessaires et DNS vers votre résolveur. Interdisez tout le reste. Le TCP sortant sur le port 6000 et les requêtes vers les domaines du rapport de Bitdefender ne sont pas rencontrés dans le fonctionnement normal d'une ferme, une telle tentative doit être considérée comme un signe d'infection. Les logs du routeur sur une journée montreront quel appareil « appelle » là où il ne devrait pas.

Règles d'achat pour l'avenir

• Ne prenez pas de « flagship » au prix d'un appareil bon marché. Le S26 Ultra à un cinquième du prix est presque certainement un clone, et les clones sont mentionnés le plus souvent dans ce rapport.
• Achetez chez des vendeurs officiels et vérifiez le modèle sur le site du fabricant. Cela réduit le risque, mais ne garantit rien : Doogee et Cubot se vendent eux-mêmes officiellement.
• Vérifiez chaque nouvel appareil avant de l'introduire dans la ferme selon la liste de contrôle ci-dessus. Cinq minutes à l'entrée coûtent moins cher que de devoir gérer des bans sur toute la ferme par la suite.
• Tenez un registre : modèle, version du firmware, date de vérification. Lorsque le prochain rapport sur un modèle spécifique sortira, vous saurez en une minute combien de ces appareils vous avez.

Et si la ferme est nécessaire pour une IP mobile

Beaucoup gardent des téléphones et des modems uniquement pour une adresse mobile propre pour le multi-comptage ou le scraping. L'assemblage autonome offre un contrôle total, et dans le matériel sur les proxies mobiles faits maison, nous avons examiné ce que cela coûte. Mais avec le contrôle, vous prenez également en charge la chaîne d'approvisionnement du matériel. Midnight Mimosa montre qu'il est presque impossible de vérifier le firmware d'un appareil bon marché. Si vous avez besoin du téléphone uniquement comme point d'accès à Internet, vous pouvez ne pas garder de matériel du tout et opter pour des proxies mobiles payés à la consommation : la rotation et le changement de géo sont configurables sans achat ni reflashage d'appareils. Pour les tâches où le réseau mobile n'est pas indispensable, il existe des adresses résidentielles.

Conclusion

Midnight Mimosa n'est déjà pas la première histoire de modules proxy dans du matériel Android bon marché. En 2026, il s'agissait de box TV, d'autoradios, et maintenant de smartphones. Il y a une leçon commune : si un appareil coûte suspectement peu cher, quelqu'un a peut-être intégré dans le firmware un moyen de gagner de l'argent dessus, et l'un de ces moyens est de vendre votre IP pour du trafic étranger. Pour une ferme de téléphones, cela signifie trois choses : vérifier chaque appareil à l'entrée, fermer les sorties réseau inutiles de la ferme et évaluer rationnellement si vous avez vraiment besoin de votre propre matériel pour une adresse mobile.