Ipinadala ang Midnight Mimosa malware kasama ng firmware ng mga Android phone, at umabot ito sa mahigit 150 bansa

Naikompromiso ang telepono bago pa ito unang buksan

Libu-libong Android device sa mahigit 150 bansa ang naapektuhan ng Midnight Mimosa, isang kampanya ng malware na naglalagay ng mapaminsalang software sa firmware ng telepono bago pa ito buksan ng mga mamimili. Natukoy ng Bitdefender ang hindi bababa sa 32 nakabalatkayong app na inilunsad ng operasyon, gayundin ang 13 app sa Google Play na may kaparehong code para sa pandaraya sa advertising at nakikipag-ugnayan sa imprastraktura nitong pangkontrol.

Inilathala ang mga natuklasan noong Oktubre 8, 2026, at in-update noong Oktubre 9. Inilalarawan ng mga ito ang operasyong naobserbahan sa loob ng humigit-kumulang dalawang taon. Kabilang sa mga apektadong device ang murang mga teleponong gumagamit ng mga platform ng MediaTek, mga pekeng produktong gumagamit ng mga pangalan ng modelo ng Apple at Samsung, at mga device na nagpapakilalang Doogee S200 X at Cubot KINGKONG X.

Ang pangunahing natuklasan sa teknikal na ulat ng Bitdefender ay hindi nakasalalay ang impeksiyon sa pag-download ng mamimili ng kahina-hinalang app. Kasama nang dumarating sa device ang mapaminsalang bahagi ng system, taglay nito ang makapangyarihang mga pahintulot sa operating system, at kaya nitong mag-install ng karagdagang software nang hindi nagpapaalam sa may-ari.

Dahil dito, napakahirap alisin ng banta. Maaaring mawala ang isang nakikitang bahagi ng operasyon kapag binura ang di-kanais-nais na weather app o app locker, pero mananatili ang bahaging nag-install dito. Paulit-ulit na nakita ng mga mananaliksik na lumilitaw at nawawala ang mga payload sa parehong mga device.

May mga limitasyon din ang mga natuklasan ng imbestigasyon. Hindi natukoy kung sino ang nagpasok ng malware sa firmware. Nakakita ang mga mananaliksik ng code na kayang magpadaan ng traffic sa mga nahawaang telepono, pero walang natanggap na tagubilin para magpadaan ng traffic ang kanilang test device. May akses ang mga operator sa sensitibong mga pahintulot, bagaman hindi naobserbahan ng mga mananaliksik na ginamit ang mga ito habang isinasagawa ang pagsusuri.

Ang nakatagong bahaging kumokontrol sa mga pag-install

Nagsimula ang imbestigasyon nang mag-flag ang teknolohiya ng Bitdefender para sa pagtukoy ng gawi sa com.android.system.lite. Ipinahiwatig ng pangalan nito at pangkalahatang label na System na isa itong karaniwang bahagi ng Android, ngunit iba ang mga ginagawa nito: palihim itong nag-i-install at nag-aalis ng mga app na walang kaugnayan at paulit-ulit na nagpapagana ng sensitibong akses.

Wala itong nakikitang launcher icon. Nilagdaan ito para sa Android platform, tumatakbo bilang system user at itinakdang manatiling aktibo. Kabilang sa mga pahintulot nito ang pag-install at pagbura ng mga package, pagbibigay ng mga pahintulot sa ibang app at pagbabago sa mga secure setting. Higit na makapangyarihan ang mga ito kaysa sa karaniwang nagagawa ng app na dina-download ng may-ari ng telepono.

Nakita rin kalaunan ng mga mananaliksik ang parehong mapaminsalang pangunahing code sa ilalim ng iba pang pangalan, kabilang ang com.android.sys.prot, com.android.sys.gmsprot at com.android.sys.bcprot. Natukoy rin bilang bahagi ng parehong pamilya ang com.android.non.szcz, isang package na iniulat ng mga may-ari ng telepono. Iba-iba ang pangalan ng mga build at, sa ilang kaso, iba rin ang mga sertipiko ng paglagda sa mga ito.

Mahalaga ito sa pagtukoy at paglilinis: hindi tinutukoy ng iisang pangalan ng package ang buong banta. Maaari pa ring taglayin ng teleponong walang com.android.system.lite ang ibang bersiyon ng parehong mekanismo. Mas kapaki-pakinabang na mga palatandaan ang magkakatulad na gawi at pinagbabatayang code kaysa sa label na nakikita sa listahan ng mga app ng Android.

Paano binabago ng remote code ang ginagawa ng telepono

Nakatago ang malaking bahagi ng mapaminsalang lohika sa isang native library na tinatawag na libeasy.so sa halip na makita sa karaniwang code ng system app. Sa pagsisimula nito, gumamit ang library ng RC4 encryption para itago at pagkatapos ay kunin ang naka-embed na framework na humigit-kumulang 142 KB ang laki.

Kumukuha ang framework na iyon ng configuration mula sa command and control server, isang remote na serbisyo kung saan nagbibigay ng mga tagubilin ang mga operator sa mga nahawaang device. Kaya nitong mag-download at mag-load ng mga DEX at JAR file, mga format na ginagamit sa paglalagay ng executable code para sa Android at Java. Dahil dito, nababago ng mga operator ang gawi ng device matapos itong maibenta.

Natukoy ng mga mananaliksik ang tatlong pamilya ng plugin. Ang isa, na kaugnay ng com.wz.sdk.DxFactory, ang namahala sa mga pekeng impression at click sa advertising. Sinuportahan naman ng dalawa pang plugin, na kaugnay ng com.earnsdk.lib.DxFactory at com.gogo.third.lib.DxFactory, ang palihim na pag-install at pag-aalis ng iba pang app; may WebView functionality din ang huli.

Samakatuwid, nagsilbi ang system component bilang tuloy-tuloy na controller at hindi bilang iisang nakapirming piraso ng malware sa advertising. Hindi nito mapipigilan ang pagkuha ng panibagong payload kinabukasan ang pagtanggal sa payload ngayong araw. Dahil din sa pinagsamang kakayahang mag-load ng remote code at magbigay ng pribilehiyadong mga pahintulot, mas malawak ang posibleng aktibidad nito kaysa sa mga asal na nakuhanan ng ebidensiya sa imbestigasyon.

Ginawang kita ng mga pekeng click ang mga karaniwang app na nagkukunwari

Malamang na kumita ng pera ang pangunahing layunin ng operasyon. Nakakita ang mga mananaliksik ng hindi bababa sa 32 natatanging payload app na nagkukunwaring weather utility, app locker, file manager, icon tool, text recognition tool at audio editor. May ilan na may kapaki-pakinabang na tungkulin, habang hindi naman talaga ginagawa ng iba ang ipinahihiwatig ng kanilang pangalan.

Halimbawa, ipinakilala ng com.mobile.applock.wt ang sarili nito bilang tool para mag-lock ng app, pero wala itong interface at code na kailangan para maisagawa iyon. Itinago ito sa user at nagsilbi bilang isa pang malware dropper, o programang naghahatid ng karagdagang mapaminsalang software. Kabilang sa iba pang natukoy na payload ang com.dmstudio.weather, com.dl.guard.lock at picturetranslate.extractor.text.lite.

May dala ang mga nagkukunwaring app na lehitimong software development kit, o SDK, para sa advertising. Mga tool ito na nagbibigay-daan sa app na magpakita ng mga ad at tumanggap ng bayad para sa aktibidad sa advertising. Dahil naroon ang mga ito, nagkaroon ng app at advertising identifier ang mapanlinlang na traffic kung saan maaaring i-credit ang kita.

Inilarawan ng mga mananaliksik sa seguridad ng Bitdefender na sina Adrian Mihai Gozob at Alex Baciu ang paghahati ng gawain sa pagitan ng nananatiling system component at mga nagkukunwaring app:

Hindi ang system app mismo ang nagtatala ng mga mapanlinlang na impression at click.

Nagbigay ng mga tagubilin, tiyempo at artipisyal na interaksiyon ang controller, habang pag-aari ng mga nagkukunwaring app ang mga advertising identifier. Nag-uusap ang mga application sa pamamagitan ng mga nakabahaging serbisyo at iniuulat ang parehong device identifier sa imprastrakturang kinabibilangan ng control service na nagkukunwaring weather API. Pinag-ugnay nito ang mga utility na tila walang kaugnayan bilang iisang koordinadong operasyon sa advertising.

Natuklasan sa teknikal na pagsusuri ang mga awtomatikong click nang hindi hinahawakan ng user ang telepono, mga pabago-bagong target ng advertising, pang-araw-araw na limitasyon at mga pagitan sa pagitan ng mga pekeng interaksiyon. Natukoy rin ang awtomatikong pag-uulat ng conversion matapos ang 60 segundong timer. Maaaring ginamit ang mga kontrol na ito para isaayos ang dalas ng huwad na aktibidad sa halip na lumikha ng walang tigil na sunod-sunod na magkakaparehong pangyayari.

Target ng pag-iwas at daluyan ng pamamahagi ang Google Play

Bago maglunsad ng payload, pansamantalang pinapatay ng malware ang com.android.vending, ang app ng Google Play Store. Pagkatapos ay muli nitong pinagana ang app at may inilagay itong pananggalang para ibalik ito kapag naroon ang user. Pagtatangka marahil ito para makaiwas sa pagtukoy ng Play Protect, ayon sa pagsusuri ng Bitdefender, at hindi patunay na nakaiwas sa pag-scan ang bawat pag-install.

Minanipula rin ng ilang variant ang mga talaan ng installer ng Android para magmukhang galing sa Google Play ang software na inilagay ng malware. Dahil sa pagbabalatkayong ito, maaaring magmukhang hindi kahina-hinala ang isang di-pamilyar na app kapag tiningnan ng may-ari kung saan ito nagmula.

Kabilang sa mga paraang ginamit ng mekanismo ng advertising ang pagbubukas ng mga activity nang hindi ito hinihiling ng user at paglalagay ng mga overlay sa ibabaw ng ibang app. Minarkahan bilang secure ang isa sa mga surface para sa advertising, kaya hindi ito lumitaw sa mga screenshot o screen recording. Inilalarawan ng ulat kapwa ang nakatagong aktibidad sa advertising at ang mapanghimasok na mga display, kaya hindi dapat isipin na ganap na hindi nakikita ang operasyon.

Hiwalay na daluyan din ng pamamahagi ang Google Play. Natukoy ng mga mananaliksik ang 13 nailathalang app na may kaparehong code para sa pandaraya sa advertising at nakikipag-ugnayan sa imprastraktura ng Midnight Mimosa. Gumamit ang mga ito ng 13 magkakaibang sertipiko ng paglagda at hindi bababa sa dalawang account ng developer na pinangalanang fivedev at CPS Developer.

Wala sa mga app na ito sa tindahan ang may matataas na pribilehiyong taglay ng mga naka-preinstall na system component. Malaki ang pagkakaiba: hindi awtomatikong nagkakaroon ang app ng kaparehong kapangyarihang mag-install nang palihim gaya ng nakompromisong bahagi ng firmware kapag dina-download ito. Gayunman, nakapagpapakita pa rin ang mga ito ng mga ad sa labas ng sarili nilang interface, kabilang na kapag hindi aktibong ginagamit ng may-ari ang telepono.

Iniulat na may ilan sa mga kaugnay na app na naroon pa rin sa tindahan nang ilathala ang mga ulat tungkol sa mga natuklasan, at hindi agad tumugon ang Google sa kahilingan para sa komento. Walang nakumpirmang iskedyul ng pagtanggal na itinatag dito. Ipinakikita ng mga natuklasan sa Play na hindi lang peke o mula pa lang sa pabrika ay nakompromiso na ang mga teleponong nalantad sa banta.

Nakita ang pagpaparehistro sa proxy, pero hindi ang aktuwal na pagpapasa ng traffic

May TCP proxy component ang isa pang payload na com.mobile.applock.en. Nagpapasa ang proxy ng internet traffic para sa ibang tao. Kapag koneksiyon ito ng karaniwang may-ari ng telepono, maaaring magmukhang nagmula sa internet address ng may-ari ang traffic sa halip na sa partidong aktuwal na nag-uutos dito.

Inirehistro ng component ang mga device sa isang remote server at kaya nitong tumanggap ng mga tagubilin para kumonekta sa mga tinukoy na destinasyon at magpasa ng traffic. Maaari nitong suportahan ang isang network ng mga device na kinokontrol nang malayuan, o botnet, at lumikha ng isa pang mapagkakakitaan sa pagbebenta ng akses sa mga koneksiyong iyon.

Kinumpirma ng Bitdefender na tinanggap ng imprastraktura ng proxy ang pagpaparehistro ng test device nito. Gayunman, walang relay target na natanggap ang device habang sinusubukan ito. Samakatuwid, ipinakita ng imbestigasyon ang pagpaparehistro at kakayahang magpasa ng traffic, pero hindi ang aktuwal na pagpapasa nito sa pagsubok na iyon.

Ganoon din ang pag-iingat sa mga distributed denial of service attack, na bumabaha ng traffic mula sa maraming device para mapuno ang isang target. Inilarawan ng mga mananaliksik ang pakikilahok sa botnet at ang mga ganitong pag-atake bilang mga posibleng gamit. Hindi pinatutunayan ng mga natuklasan na nagsagawa ng partikular na pag-atake ang mga teleponong may Midnight Mimosa, ni tinutukoy ng mga ito ang mga kostumer na bumili ng akses sa kanilang mga koneksiyon.

Anong mga device at bansa ang lumitaw sa mga natuklasan?

Nanguna ang Mexico, France at Italy sa heograpikong distribusyon, kasunod ang United States, Germany, Brazil at Spain. Saklaw ng kabuuang bilang ang libu-libong natatanging device sa loob ng humigit-kumulang dalawang taon, pero walang ibinigay na eksaktong kabuuang bilang ng kampanya. Mga natukoy na kaso ang mga ito, hindi bilang ng bawat nahawaang teleponong naibenta.

Mahigit 11% ng mga nakompromisong device ang nagpakilalang KINGKONG X, isang pangalan ng modelong iniuugnay sa Cubot, habang mahigit 4% naman ang nagpakilalang S200 X, na iniuugnay sa Doogee. Mahigit 15% ng mga natukoy na kaso ang pinagsamang bahagi ng dalawang pangkat ng modelong iniulat na ito. Natukoy rin sa mga ulat tungkol sa imbestigasyon ang Cubot Kingkong 9.

35.8% ng mga nahawaang device ang mula sa nangungunang 15 brand ng telepono. Humigit-kumulang 64% naman ang pinagsama sa kategoryang iba pa, isang iniulat na bilugang bilang. Ipinahihiwatig ng distribusyon ang pagkakawatak-watak ng apektadong merkado sa halip na pagkakatuon ng operasyon sa iisang kilalang brand.

Kabilang sa mga pekeng string ng modelo ang i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra at Note 18 Ultra. Lumitaw rin ang pangalan ng tablet na iPadAirPro. Iniulat na taglay ng murang Android hardware ang mga string na ito at hindi dapat ipagkamaling patunay na nahawaan ng malware ang mga tunay na produkto ng Apple o Samsung.

Hindi ganap na maaasahang ebidensiya ang mga identifier ng modelo dahil maaaring hindi totoo ang pagkakakilanlang iniuulat ng software tungkol sa isang device. Hindi rin pinatutunayan ng pagkakatukoy sa ilang partikular na modelo na nahawaan ang bawat yunit na naibenta sa ilalim ng mga pangalang iyon. Tumutukoy ang mga teknikal na natuklasan sa mga apektadong device at build ng firmware, hindi sa lahat ng produkto ng MediaTek o lahat ng telepono mula sa mga pinangalanang brand.

Hindi pinatutunayan ng mga sertipiko ng firmware kung sino ang responsable

Nilagdaan ang ilang apektadong firmware gamit ang mga sertipikong may pangalang Shenzhen Zediel. Mahalaga ang ebidensiya ng paglagda dahil iniuugnay nito ang mapaminsalang component sa firmware na pinagkakatiwalaan ng device. Pero hindi nito pinatutunayan kung sino ang nagpasok ng malware o kung alam ng may-ari ng sertipiko na naroon ito.

Malinaw na nilimitahan nina Gozob at Baciu ang maaaring patunayan ng kanilang imbestigasyon tungkol sa pagtukoy kung sino ang responsable:

Ang tanging makukumpirma namin ay ginamit ang mga sertipikong may pangalang Shenzhen Zediel sa paglagda sa firmware ng mga apektadong device.

Iba-iba ang paglalarawan sa mga ulat tungkol sa negosyong nasa likod ng pangalang ito: bilang gumagawa ng Android device at bilang tila kaugnay ng isang developer ng motherboard. Hindi nililinaw ng mga paglalarawang iyon kung sino ang responsable. Nakakita rin ang Bitdefender ng mga apektadong teleponong walang firmware certificate na may pangalang Zediel, kaya hindi ganap na nagpapaliwanag sa insidente o nagsisilbing unibersal na palatandaan ng impeksiyon ang pagkakakilanlang ito sa paglagda.

Kabilang sa mga posibleng nagpasok ng malware ang orihinal na tagagawa ng produkto, integrator ng firmware, katuwang sa logistics o ibang sangkot sa pamamahagi. Walang piniling isa sa ulat. Ang nakumpirmang natuklasan ay kasama na sa firmware ang malware bago maibenta ang mga apektadong telepono.

Ipinakikita ng mga ulat ng may-ari kung bakit hindi sapat ang pagbura sa mga app

Iniulat ng mga may-ari ng teleponong Cubot at Doogee na muling nag-i-install ang mga kahina-hinalang app matapos alisin ang mga ito. Iniulat ng isang may-ari ng Doogee Fire 3 Max na nagpasok ng impeksiyon ang opisyal na update ng firmware, na nawala ito nang bumalik sa mas lumang firmware, at naibalik ito nang muling i-install ang update. Mga ulat ito ng user, hindi kasaysayang independiyenteng napatunayan para sa bawat apektadong bersiyon ng firmware.

Sinabi ng ilang may-ari na nalutas ng mga sumunod na update mula sa mga tagagawa ang kanilang mga impeksiyon. Hindi pa ipinaliliwanag ng mga tagagawa sa publiko kung paano nakapasok ang mapaminsalang code sa apektadong firmware. Sama-samang nagpapahiwatig ang mga ulat na mahalagang isaalang-alang ang mga bersiyon ng firmware sa imbestigasyon at pagkukumpuni, sa halip na ipalagay na nalulutas ang problema sa pagbura lamang ng na-download na app.

Narito ang pangunahing pagkakasunod-sunod ng mga pangyayaring naitatag ng imbestigasyon at mga sumunod na ulat:

• Sa loob ng humigit-kumulang dalawang taon, naobserbahan ng Bitdefender ang libu-libong apektadong device sa mahigit 150 bansa.
• Noong Oktubre 8, 2026, inilathala ng Bitdefender ang imbestigasyon nito sa Midnight Mimosa.
• Noong Oktubre 9, 2026, in-update ang teknikal na ulat.
• Sa mga ulat na inilathala pagsapit ng Oktubre 12, hindi pa rin nalulutas ang mga alalahanin tungkol sa mga kaugnay na app sa Google Play at kung sino ang responsable sa apektadong firmware.

Ayon sa Bitdefender, kailangang ayusin ang firmware o i-disable ang mapaminsalang component sa pamamagitan ng Android Debug Bridge, na karaniwang tinatawag na ADB, para malinis ang device. Tool ang ADB na nagbibigay-daan sa computer na makipag-ugnayan sa Android device para sa pag-debug at mga gawaing pang-administratibo. Hindi katumbas ng pagpapalit sa nakompromisong firmware ng napatunayang malinis na bersiyon ang pag-disable sa isang component.

Walang naitatag na pangkalahatang utos para sa paglilinis o kumpirmadong listahan ng malinis na firmware. Dapat humingi ang mga may-ari ng napatunayang solusyon o kapalit na device sa nagbebenta o tagagawa sa halip na ipalagay na ligtas ang isang update dahil lamang opisyal ang tawag dito. Maingat na pag-iingat habang hindi pa nalulutas ang katayuan ng device ang pag-iwas sa paggamit nito para sa pagbabangko, pagpapatunay ng sensitibong account at pag-iimbak ng mahalagang impormasyon.

Kabilang sa mga alalahanin ang sensitibong akses na hindi naobserbahan ng mga mananaliksik na ginamit. Paulit-ulit na ipinagkaloob at binawi ang Accessibility at Notification Access, at naroon din ang mga pahintulot para sa SMS. Maaaring maglantad ang mga kakayahang ito ng nilalaman ng screen, mga notification o mga mensahe ng beripikasyon kung isaaktibo ang mga ito ng code na ipinadala nang malayuan. Napatunayang panganib ito, hindi patunay na ninakaw ng Midnight Mimosa ang mga impormasyong iyon habang isinasagawa ang pagsusuri.

Mahahalagang punto

• Nakitang nakapaloob na sa firmware ng Android ang Midnight Mimosa bago makarating sa mga mamimili ang mga apektadong device.
• Libu-libong apektadong device sa mahigit 150 bansa ang naobserbahan ng Bitdefender sa loob ng humigit-kumulang dalawang taon.
• Nag-deploy ang operasyon ng hindi bababa sa 32 nakabalatkayong payload app; may kaparehong code at imprastraktura para sa pandaraya sa advertising ang 13 app sa Google Play.
• Dahil sa mga pribilehiyo ng system, kaya nitong mag-install nang palihim, magbigay ng mga pahintulot at mag-load ng remote code.
• Nakumpirma ang pagpaparehistro sa proxy, pero hindi naobserbahan sa test device ang aktuwal na pagpapasa ng traffic.
• Hindi pinatutunayan ng mga sertipiko ng paglagda sa firmware kung sino ang nagpasok ng malware o kung may kinalaman dito ang mga may-ari ng sertipiko.
• Hindi sapat ang pagbura lamang sa mga nagkukunwaring app para maalis ang banta. Kailangang aksiyunan ang firmware o i-disable ang nananatiling component.