Midnight Mimosa è già nel firmware al primo avvio: installa app, esegue codice da remoto e usa il telefono come proxy. L'Italia è tra i Paesi più colpiti.
E se il malware fosse già nella scatola? Non arriva da un link sbagliato o da un'app scaricata male: è già sul telefono quando lo accendi la prima volta. È quello che i ricercatori di Bitdefender hanno trovato in migliaia di smartphone Android economici venduti in oltre 150 Paesi. La campagna si chiama Midnight Mimosa e, secondo le analisi, va avanti da circa due anni.
Dove si nasconde
Il codice malevolo sta nel firmware, cioè nel software di base che il produttore installa prima che il telefono esca dalla fabbrica. Si presenta come un normale componente di sistema, con nomi come com.android.system.lite o com.android.sys.prot. È firmato e gira con privilegi elevati: per questo non si toglie con una semplice disinstallazione. Alcuni utenti sul forum XDA raccontano che le app sospette ricompaiono dopo la rimozione. In un caso l'infezione è arrivata con un aggiornamento firmware ufficiale ed è sparita tornando alla versione precedente.
Cosa fa
Può installare e rimuovere app senza chiedere nulla, concedersi nuovi permessi ed eseguire codice inviato dai suoi operatori. In pratica chi lo controlla può decidere in qualsiasi momento cosa far fare al telefono. Oggi l'uso principale è la frode pubblicitaria: una trentina di app camuffate da meteo, file manager, OCR o editor audio caricano annunci veri in finestre invisibili, e a volte ci cliccano da sole. Le reti pubblicitarie contano quelle visualizzazioni come buone. In più il dispositivo può diventare un proxy residenziale: altre persone fanno passare il proprio traffico attraverso la tua connessione, con il tuo indirizzo IP.
Chi è coinvolto
I modelli colpiti sono soprattutto Android economici con chip MediaTek, tra cui Doogee S200 X e Cubot KINGKONG X, più diversi falsi che imitano Samsung e Apple. Tra i Paesi più colpiti ci sono Messico, Francia, Italia, Stati Uniti, Germania, Brasile e Spagna. Bitdefender parla di una compromissione della catena di fornitura, ma non è chiaro in quale passaggio avvenga l'infezione né chi ci sia dietro.
Perché riguarda le aziende
Un telefono con privilegi di sistema compromessi vede tutto quello che passa dallo schermo: posta, app aziendali, codici di autenticazione a due fattori. E se fa da proxy, il traffico di sconosciuti esce dalla rete aziendale, o dall'hotspot del dipendente, con un IP che riconduce a voi. Antivirus e ripristino di fabbrica servono a poco quando il problema è nel firmware stesso. L'unica difesa vera è a monte: scegliere da chi si compra.
Fonte: Red Hot Cyber
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Il telefono rugged da cento e qualcosa euro comprato online per il magazziniere o per il tecnico in cantiere lo trovo spesso nelle aziende che seguo. Ha senso: costa poco, resiste alle cadute, la batteria dura. Nessuno pensa che il rischio stia proprio lì, nel prodotto appena arrivato, e onestamente fino a poco tempo fa era un pensiero da paranoici. Questa vicenda dice che non lo è più. E il dettaglio che mi preoccupa di più è l'aggiornamento ufficiale che porta l'infezione: è la stessa cosa che raccomando sempre di fare. Qui non c'è stato un errore dell'utente. Ha fatto la cosa giusta e gli è andata male.
In pratica consiglio di trattare i telefoni aziendali come i portatili: una lista di modelli ammessi, marchi che garantiscono aggiornamenti seri e certificazione Google Play Protect, gestione centralizzata con un MDM e, dove possibile, nessun accesso ai dati aziendali dai dispositivi che non rientrano in quella lista. Funziona bene, ma resta un dubbio che non riesco a togliermi: se la catena di fornitura si può compromettere in fabbrica, il prezzo alto basta davvero a proteggerci, o paghiamo soltanto una fiducia che nessuno di noi è in grado di verificare?