Midnight Mimosa: telefoni Android economici con trojan proxy nel firmware. Come controllare la farm

Il 8 ottobre 2026, Bitdefender Labs ha pubblicato un'analisi della campagna Midnight Mimosa: smartphone Android economici basati su chip MediaTek escono dalla fabbrica con codice dannoso direttamente nella partizione di sistema del firmware. Il codice mostra pubblicità invisibile, installa e rimuove applicazioni senza autorizzazione, e uno dei suoi moduli registra il telefono nella rete di proxy residenziali. I ricercatori hanno contato migliaia di dispositivi infetti in oltre 150 paesi in circa due anni. Non è possibile rimuovere l'infezione in modo convenzionale.

Per il consumatore medio, questa è una storia su "non acquistare cloni Galaxy a prezzi sospettosamente bassi". Per coloro che gestiscono fattorie di telefoni per multi-accounting, SMM, test di applicazioni o proxy mobili fai-da-te, il rischio è più concreto. L'acquisto all'ingrosso di dispositivi Android economici crea proprio questo tipo di fattoria. Di seguito analizzeremo cosa è stato trovato, quali sono i rischi per la fattoria e come controllare i propri dispositivi.

Cosa è stato trovato in Midnight Mimosa

La campagna è stata notata dal sistema di rilevamento delle anomalie delle app di Bitdefender. Ha destato preoccupazione l'app di sistema com.android.system.lite con la firma "System", che installava e rimuoveva silenziosamente altre applicazioni. Si è poi scoperto che è integrata nel firmware e firmata con un certificato di piattaforma. Pertanto, ha diritti di sistema: installazione e rimozione di pacchetti, concessione di autorizzazioni, modifica delle impostazioni protette.

La catena è strutturata in più fasi:

• Bootloader di sistema (com.android.system.lite e nomi simili: com.android.sys.prot, com.android.sys.gmsprot) con una libreria nativa libeasy.so. Questa decodifica il framework nascosto all'interno dell'APK.
• Framework nascosto scarica plugin dal server di controllo e esegue codice ricevuto da remoto.
• Plugin responsabili della frode pubblicitaria, installazione silenziosa di applicazioni "partner" e WebView integrato.
• Applicazioni di copertura: meteo, blocco delle applicazioni, note, riconoscimento del testo. Bitdefender ha contato circa 32 di queste applicazioni.

Prima di ogni installazione silenziosa, il malware esegue pm disable com.android.vending, disattivando Google Play, per poi riattivarlo. I ricercatori ipotizzano che questo ostacoli il controllo di Play Protect, anche se questo effetto non è confermato. Alcuni campioni falsificano anche la registrazione della fonte di installazione, facendo sembrare l'app scaricata da Google Play.

Denaro: pubblicità invisibile

Il reddito principale proviene dalla frode pubblicitaria. Gli annunci vengono mostrati in finestre sopra altre applicazioni, anche quando il telefono è inattivo. Queste finestre sono contrassegnate come protette, quindi screenshot o registrazioni dello schermo non le catturano. La frequenza dei "click" è impostata da una configurazione remota, e i click sono simulati a livello software. Dopo 60 secondi dalla visualizzazione, viene inviato un evento fittizio di "conversione". I guadagni vanno alle applicazioni di copertura, che hanno veri SDK pubblicitari.

Modulo proxy: il telefono come nodo di uscita

Per il nostro tema, l'app principale è com.mobile.applock.en, che si autodefinisce "Locket". Non ha interfaccia né pubblicità, e le autorizzazioni richieste sono solo internet e stato della rete. Secondo Bitdefender, fa quanto segue:

1. apre una connessione TCP "grezza" con il server di controllo sulla porta 6000;
2. invia l'impronta del dispositivo: modello, versione di Android, SDK, build ID e marchio;
3. riceve dal server un elenco di indirizzi nel formato "host, porta" e l'intervallo di polling;
4. per ogni indirizzo costruisce un tunnel e inoltra il traffico esterno in entrambe le direzioni.

In altre parole, attraverso il tuo IP e la tua SIM, qualcun altro accede a Internet. È necessaria una precisa avvertenza: Bitdefender ha confermato che l'infrastruttura accetta la registrazione dei telefoni. Tuttavia, un dispositivo di test appena registrato non ha ricevuto incarichi di inoltro, e il server di controllo, che è stato visto attivo, è stato poi riclassificato come sinkhole. L'inoltro attivo del traffico non è ancora stato dimostrato. Tuttavia, il meccanismo è pronto e può essere attivato con un solo comando dal server.

Quali dispositivi sono a rischio

• Chipset: MediaTek.
• Modelli nominati: Doogee S200 X e Cubot KINGKONG X. Il proprietario di Cubot ha descritto su un forum XDA un pacchetto nascosto com.android.sys.*, che tornava dopo la rimozione. Secondo una segnalazione, un aggiornamento ufficiale del firmware ha ripristinato il malware.
• Falsificazioni di flagship: nei firmware si trovano nomi come S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max e simili. Si tratta di cloni economici di Samsung e Apple, molto comuni nei marketplace come AliExpress.
• Geografia: il maggior numero di infezioni si trova in Messico, Francia e Italia, seguiti da Stati Uniti, Germania, Brasile, Spagna, e poi una lunga coda in Africa, Sud-Est asiatico e Medio Oriente.

Alcuni firmware sono firmati con il certificato CN=ZED, L=ShenZhen, collegato a Shenzhen Zediel. I ricercatori specificano chiaramente che ciò non prova il coinvolgimento della società. Chi e a quale fase della catena di approvvigionamento ha modificato il firmware rimane sconosciuto. Secondo la stampa di lingua spagnola, Doogee e Cubot hanno già rilasciato patch, ma non hanno spiegato come il codice sia finito nel firmware.

Separatamente, Bitdefender ha trovato su Google Play 13 applicazioni con lo stesso codice pubblicitario. Esse si collegano alla stessa infrastruttura, ma non hanno diritti di sistema. Sono state pubblicate sotto almeno due account di sviluppatori, fivedev e CPS Developer.

Perché questo è un problema specifico per le fattorie di telefoni

Questo non è il primo caso simile. In passato, catene simili sono state trovate in radio per auto con un updater compromesso e in set-top box Android. Ora nella lista ci sono smartphone comuni, che vengono acquistati in lotti. Quali sono i rischi:

• Traffico estraneo sul tuo IP. Se il modulo proxy inizia a inoltrare traffico, il tuo IP mobile apparirà nei log dei siti accanto a spam, tentativi di accesso e scraping. I sistemi antifrode delle piattaforme valutano la reputazione dell'indirizzo, e gli account nella fattoria inizieranno a ricevere controlli e ban senza motivo apparente.
• Consumo di traffico e batteria. La pubblicità invisibile e i tunnel consumano pacchetti mobili e carica. In una fattoria con decine di dispositivi, questo si traduce in somme significative.
• Account correlati. Il malware installa applicazioni su comando e raccoglie l'impronta del dispositivo. In una fattoria dove ogni telefono deve apparire come una persona distinta, software extra con un server di controllo comune crea collegamenti non necessari tra i dispositivi.
• Accesso a SMS e funzionalità speciali. Il modulo di sistema richiede autorizzazioni per l'accessibilità, accesso alle notifiche e SMS e può concederle a se stesso. Durante l'analisi, non è stato notato alcun utilizzo, ma su un telefono che riceve codici di conferma per account di lavoro, tali diritti sono pericolosi.
• Il ripristino non aiuta. Il componente si trova nella partizione di sistema, quindi il ripristino alle impostazioni di fabbrica riporta il telefono allo stesso stato infetto.

Come controllare i propri telefoni: checklist

Bitdefender consiglia di concentrarsi non sui nomi dei pacchetti, ma su un kernel stabile (libeasy.so, cn.kw.lib.hex, dominio api.weatherlive.world), poiché i nomi cambiano. Senza uno scanner antivirus, è difficile, ma un primo filtro tramite ADB richiede un minuto per telefono.

1. Attiva il debug USB e collega il telefono al computer con adb.
2. Cerca pacchetti di sistema sospetti:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Un normale Android non contiene nomi del genere. Qualsiasi corrispondenza è motivo per isolare il dispositivo.
3. Cerca applicazioni di copertura:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Controlla la fonte di installazione del pacchetto sospetto:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Se è indicato com.android.vending, e non hai installato l'app, la registrazione potrebbe essere stata falsificata.
5. Controlla le connessioni di rete. La porta 6000 è indicata da :1770 nella colonna degli indirizzi remoti: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Se l'accesso a questi file è chiuso, controlla le connessioni sul router della fattoria.
6. Prova a disabilitare il componente per l'utente: adb shell pm disable-user --user 0 <nome_pacchetto>. Questo è il percorso tramite ADB di cui parla Bitdefender. In alcuni firmware, i pacchetti di sistema non possono essere disabilitati in questo modo, e va bene. Significa che il dispositivo deve essere riprogrammato con un firmware ufficiale pulito o disattivato.
7. Controlla il firmware dal produttore. Se è disponibile una patch, installala e poi ripeti i passaggi 2-5: secondo le segnalazioni dei proprietari, l'aggiornamento a volte ripristinava il malware.

Livello di rete: chiudi l'uscita della fattoria

Anche i telefoni apparentemente puliti è utile tenerli dietro un router con whitelist. Consenti solo porte e direzioni che sono realmente necessarie per le tue applicazioni: HTTPS verso i siti necessari e DNS verso il tuo risolutore. Tutto il resto deve essere vietato. Il TCP in uscita sulla porta 6000 e le richieste ai domini riportati da Bitdefender non si trovano nel normale funzionamento della fattoria, e tale tentativo dovrebbe essere considerato un segno di infezione. I log del router per un giorno mostreranno quale dispositivo "chiama" dove non dovrebbe.

Regole di acquisto per il futuro

• Non acquistare un "flagship" al prezzo di un dispositivo economico. S26 Ultra a un quinto del prezzo è quasi sicuramente un clone, e i cloni sono menzionati più frequentemente in questo rapporto.
• Acquista da rivenditori ufficiali e verifica il modello con il sito del produttore. Questo riduce il rischio, ma non garantisce: Doogee e Cubot si vendono ufficialmente.
• Controlla ogni nuovo dispositivo prima di inserirlo nella fattoria utilizzando la checklist sopra. Cinque minuti all'ingresso costano meno che dover affrontare ban su tutta la fattoria in seguito.
• Conserva un registro: modello, versione del firmware, data di controllo. Quando uscirà il prossimo rapporto su un modello specifico, saprai in un minuto quanti di quei dispositivi hai.

E se la fattoria è necessaria per un IP mobile

Molti tengono telefoni e modem solo per avere un indirizzo mobile pulito per multi-accounting o scraping. L'assemblaggio autonomo offre il controllo completo, e nel materiale su proxy mobili fai-da-te abbiamo analizzato quanto costa. Ma insieme al controllo, prendi anche la catena di approvvigionamento dell'hardware. Midnight Mimosa dimostra che controllare il firmware di un dispositivo economico è quasi impossibile. Se hai bisogno del telefono solo come uscita in rete, puoi non tenere affatto hardware e prendere proxy mobili con pagamento per gigabyte: la rotazione e il cambio di geo possono essere configurati senza acquisto e riprogrammazione dei dispositivi. Per compiti in cui la rete mobile non è obbligatoria, ci sono indirizzi residenziali.

Conclusione

Midnight Mimosa non è già la prima storia sui moduli proxy nell'hardware Android economico. Nel 2026, si trattava di set-top box, radio, e ora anche smartphone. C'è una lezione comune: se un dispositivo costa sospettosamente poco, qualcuno potrebbe aver inserito nel firmware il proprio modo di guadagnare su di esso, e uno di questi modi è vendere il tuo IP per traffico estraneo. Per una fattoria di telefoni, questo significa tre cose: controllare ogni dispositivo all'ingresso, chiudere l'uscita di rete superflua della fattoria e valutare razionalmente se hai davvero bisogno del tuo hardware per un indirizzo mobile.