Mimosa de minuit: Préinstallé malware fraude publicitaire sur le firmware Android avec MediaTek

Bitdefender a détecté une campagne massive qui intègre les logiciels malveillants directement dans le firmware économique de téléphone Android basé sur les plateformes MediaTek. La découverte, baptisée par la compagnie comme Mimosa de minuit, décrit un composant préinstallé identifié comme com.android.system.lite qui exécute des tâches avec des privilèges système: télécharger des configurations distantes, charger des modules supplémentaires et permettre silencieusement d'autres applications. Ces comportements permettent aux opérateurs d'installer ou de supprimer des applications, d'activer les services d'accessibilité et les notifications, et de transformer le terminal en un nœud mandataire résidentiel ou une partie d'un botnet dédié à la fraude publicitaire.

Les faits confirmés par Bitdefender incluent que le binaire embarqué fonctionne dans la partition système (donc ce n'est pas une application utilisateur amovible utilisant les méthodes habituelles), qu'il contacte des serveurs distants pour obtenir une configuration et des charges utiles, et que les charges utiles découvertes effectuent une fraude publicitaire, installent des "applications goutte à goutte" qui affichent des publicités invisibles et actionnent des fonctions proxy. Il est également confirmé que la campagne touche les appareils distribués dans le monde entier, la plupart des incidents signalés au Mexique et la présence dans des pays comme la France, l'Italie et les États-Unis. Allemagne, Brésil, Espagne, Royaume-Uni, Canada, Roumanie, Pologne et Thaïlande. De plus, Bitdefender a trouvé 13 applications dans Google Play qui communiquent avec la même infrastructure de commande et de contrôle, indiquant que l'opération ne se limite pas au firmware engagé, mais utilise également des applications dans les magasins publics pour monétiser.

Comment ça marche techniquement: la pièce préinstallée est exécutée avec des privilèges système, vous permettant d'invoquer le gestionnaire de paquets pour installer ou supprimer les paquets et ajuster les permissions. Selon l'analyse, avant de télécharger une application de charge utile, le malware désactive temporairement l'application Google Play - probablement pour échapper à Play Protect - et la réactive une fois que la charge utile est déjà sur l'appareil. Les goutteuses qui sont ensuite installées contiennent un SDK publicitaire légitime qui sert de vraies annonces, mais les opérateurs placent des fenêtres invisibles sur d'autres applications pour enregistrer des impressions et des clics sans que l'utilisateur le remarque, générant des revenus de fraude. D'autres modules mettent en œuvre des logiciels mandataires qui relient le trafic tiers à travers le terminal touché, transformant les appareils en « résidences » pour les opérateurs qui ont besoin d'adresses IP légitimes.

Qui il affecte et pourquoi il importe: le vecteur principal sont les téléphones économiques avec firmware basé sur MediaTek, vendus sous différentes marques. Le fait que les logiciels malveillants résident dans la partition système transforme le problème en un engagement de la chaîne d'approvisionnement de l'appareil ou le processus clignotant du firmware: un acheteur actif ne peut pas supprimer l'installateur racine avec un simple désinstallation ou une réinitialisation en usine dans la plupart des cas. Les conséquences pratiques vont de l'abus de données et de la dégradation des performances aux risques de confidentialité (informations sur les applications installées et les données des appareils) et à l'exposition du réseau de l'utilisateur au trafic tiers. Pour les entreprises ayant des politiques BYOD, les dispositifs compromis peuvent devenir des moyens d'abus ou d'exfiltration à partir du réseau d'entreprise.

Bitdefender a également documenté que certains des firmwares détectés ont été signés avec des certificats associés à Shenzhen Zediel Co., Ltd, bien que la société souligne qu'il n'y a aucune preuve publique pour prouver que le titulaire du certificat était consciemment impliqué dans l'insertion de logiciels malveillants; la présence de plusieurs noms de société dans l'enquête suggère des complications dans l'attribution. Cette incertitude est pertinente : la pré-installation peut être due à des acteurs qui interceptent ou modifient le firmware pendant la production ou la distribution, à des fournisseurs tiers négligents ou à des pratiques douteuses de montage et de distributeurs.

Le confirmé, l'estimation et l'incertitude: il est confirmé qu'il existe un composant préinstallé capable d'exécuter le code à distance, de manipuler les installations et de participer à des programmes de fraude publicitaire ; il est également clair que la campagne utilise des applications publiques pour étendre la monétisation. C'est une estimation, basée sur le modèle observé, que le but principal est de générer des revenus par la fraude publicitaire et le logiciel proxy; il est crédible vu l'architecture technique, mais Bitdefender n'attribue pas publiquement objectifs politiques ou espionnage. Il reste incertain qui a introduit le code dans la chaîne d'approvisionnement et si certaines marques spécifiques ont agi de bonne foi ou ont été victimes de tiers.

Ce qu'un utilisateur affecté peut faire: la nature de l'engagement impose des mesures différentes de celles d'un malware traditionnel.

Privé: examiner la consommation de données et la batterie, permis accordés aux applications système, et si le Play Store est désactivé momentanément. Recherchez les noms des paquets suspects; si vous localisez com.android.system.lite ou d'autres composants non reconnus, considérez qu'un redémarrage ou une restauration en usine peut ne pas suffire.

Utilisateurs avancés et techniques: une solution finale est de faire défiler une image firmware officielle et propre ou d'installer un ROM alternatif vérifié, qui nécessite le téléchargement du firmware du fabricant et suivant des procédures flash sécurisées. Une autre option intermédiaire et temporaire est d'utiliser ADB pour désactiver le composant système; commandes telles que "adb shell pm disable-user --user 0"ou" adb shell pm désinstaller --user 0"peut désactiver la fonctionnalité pour l'utilisateur actuel, mais ne pas supprimer le binaire de la partition système et peut causer l'instabilité si les composants légitimes du système sont désactivés. Sauvegarde avant de toucher le firmware ou d'exécuter des commandes ADB.

Les consommateurs qui ne peuvent pas entendre: contactez le vendeur ou le fabricant qui demande une mise à jour ou un remplacement du firmware, et s'ils ont acheté le terminal dans un grand distributeur, ils ont besoin de changement ou de remboursement. Signalez le cas au magasin où l'appareil a été acheté et envisagez de le retourner. Pour les appareils liés à des comptes sensibles (banque, courrier d'entreprise), changez de mot de passe et activez des mesures d'authentification fortes à partir d'un autre appareil fiable.

Recommandations politiques et préventives: acheter des marques et des vendeurs de bonne réputation, demander des informations sur l'origine du firmware, éviter les offres bon marché suspectes sur les marchés secondaires et exiger des certifications de sécurité lorsque c'est possible. Dans les milieux d'affaires, l'adoption de contrôles des stocks d'appareils, le segmentage des réseaux et le blocage des ports et des protocoles qui permettent une utilisation externe par procuration réduisent l'exposition.

Pour plus de contexte technique et d'atténuation, voir les guides officiels Android sur les outils de développement et ADB en evooper.android.com, l'explication de Google sur Play Protect dans support.google.com et la documentation de sécurité de MediaTek mediatek.com. Bitdefender a publié son analyse technique de l'incident et est la principale source des médias judiciaires que nous avons mentionnés.

En bref: Midnight Mimosa montre que la menace la plus dangereuse sur les appareils Android n'est plus seulement une application malveillante téléchargée par l'utilisateur, mais l'insertion de code dans la propre image du système. Cela exige des réponses qui vont au-delà de l'hygiène numérique individuelle et exigent de la part des fabricants, des distributeurs et des marchés une responsabilité technique et juridique.