Midnight Mimosa, il malware preinstallato su alcuni smartphone Android che colpisce anche l’Italia

Si acquista uno smartphone, si apre la confezione e si avvia la prima configurazione. Tutto appare completamente sicuro. Tuttavia, su alcuni dispositivi Android economici, il programma permette a soggetti esterni di controllare parte del telefono ed è già presente prima della vendita. La minaccia si chiama Midnight Mimosa e sposta il problema della sicurezza dalla scelta delle applicazioni alla provenienza stessa del prodotto.

A documentarla è un’indagine pubblicata l’8 ottobre da Bitdefender, società specializzata in sicurezza informatica. I ricercatori descrivono una campagna osservata per circa due anni su migliaia di dispositivi in oltre 150 Paesi, con l’Italia tra quelli che registrano più casi. Il risultato riguarda apparecchi specifici e una filiera commerciale frammentata, come rileva anche la ricostruzione di BleepingComputer.

Il malware nascosto nel software di fabbrica

Un malware è un programma progettato per svolgere attività dannose e abusive. Nei casi studiati, si trova nel firmware, cioè il software di base che il produttore prepara per consentire al telefono di avviarsi e far funzionare Android. Il codice malevolo è inserito nella parte di sistema del dispositivo e si presenta come un componente legittimo, con un nome generico e un’icona nascosta.

Una delle versioni analizzate si chiama com.android.system.lite. Dispone di privilegi normalmente riservati al sistema operativo, ossia autorizzazioni speciali che le permettono di installare e rimuovere altre applicazioni, assegnare permessi e ricevere nuove istruzioni attraverso internet. Il proprietario vede un telefono apparentemente funzionante mentre il programma principale può scaricare altri moduli e cambiare le attività svolte.

Come produce denaro con le attività del proprietario

Secondo l’analisi tecnica di Bitdefender, la finalità prevalente è di stampo economico. Il programma installa applicazioni che simulano strumenti comuni, come servizi meteo, gestori di file o blocchi per le app. Alcune visualizzano inserzioni pubblicitarie in finestre nascoste oppure generano clic automatici. Gli inserzionisti possono così pagare per contatti pubblicitari creati artificialmente, mentre le entrate finiscono a chi controlla il sistema.

Un secondo meccanismo riguarda i proxy residenziali. Un proxy è un intermediario che riceve traffico internet e lo inoltra verso un’altra destinazione. Usando la connessione domestica o mobile del proprietario, un dispositivo compromesso può presentare all’esterno il proprio indirizzo di rete al posto di quello di chi impartisce l’ordine. Più telefoni coordinati costituiscono una botnet, una rete di apparecchi controllati centralmente e questa capacità rende possibile anche il supporto ad attacchi contro servizi online, attraverso grandi volumi di richieste.

Le difese aggirate e il secondo canale di diffusione

Midnight Mimosa sfrutta i privilegi di sistema anche per ridurre le probabilità di essere scoperto. Prima di installare alcuni moduli, sospende temporaneamente l’applicazione Google Play Store, che ospita funzioni locali di Play Protect, il sistema di Google per individuare applicazioni pericolose.

Inoltre, alcune varianti del malware alterano l’indicazione della provenienza delle app, facendo apparire come installazioni da Google Play programmi inseriti per altre vie.

La ricerca descrive inoltre 13 applicazioni che, al momento dell’analisi, risultavano pubblicate sullo store ufficiale e condividevano il codice per la frode pubblicitaria e alcuni server con Midnight Mimosa. Le versioni distribuite tramite Google Play avevano privilegi inferiori rispetto ai componenti incorporati nel firmware. Si tratta dunque di due canali distinti, uno legato alla vendita degli apparecchi e l’altro al download volontario delle applicazioni.

L’Italia fra i Paesi con più rilevazioni

La distribuzione osservata da Bitdefender comprende soprattutto Messico, Francia e Italia, seguiti da Stati Uniti, Germania, Brasile e Spagna. Le rilevazioni provengono dagli strumenti di analisi dell’azienda e rappresentano i dispositivi identificati nel suo perimetro di osservazione e non rappresentano un censimento dell’intero mercato Android.

I telefoni coinvolti utilizzano piattaforme MediaTek, un produttore di processori per dispositivi mobili.

Il punto ancora oscuro della catena di fornitura

Rimane aperta la questione centrale. Chi inserisce il codice nel software prima che il telefono raggiunga il negozio? Il processo può coinvolgere aziende che progettano il dispositivo, imprese che preparano il sistema operativo per marchi diversi e soggetti che gestiscono la distribuzione. La ricerca colloca l’infezione nella catena di fornitura, cioè nel percorso che porta un prodotto dalla produzione alla vendita, e lascia da accertare la fase esatta dell’inserimento.

Bitdefender ha trovato su alcuni firmware certificati digitali che riportano il nome della società Shenzhen Zediel. Una firma digitale serve a identificare la chiave usata per approvare un pacchetto software. La presenza di quel nome costituisce un elemento tecnico da approfondire e, da sola, lascia aperte sia la provenienza concreta dei file sia le responsabilità. Anche il processore MediaTek indica la piattaforma utilizzata, anziché l’autore dell’alterazione.

I precedenti

Il fenomeno ha una storia più lunga dell’indagine attuale. Infatti, a gennaio del 2020, è balzato alle cronache il caso UniMax U683CL, un telefono economico distribuito negli Stati Uniti sul quale erano stati segnalati programmi preinstallati capaci di aggiungere software e mostrare pubblicità indesiderata.

Ad agosto dello stesso anno la società di cybersicurezza Secure-D ha individuato due programmi malevoli, Triada e xHelper, preinstallati su alcuni smartphone Tecno W2, prodotti dalla società cinese Transsion. I software erano in grado di attivare abbonamenti a pagamento all'insaputa dei proprietari, provocando addebiti indesiderati. Transsion ha respinto le accuse di aver introdotto intenzionalmente i programmi malevoli, indicando nei fornitori esterni la possibile origine dell'infezione.

Sono episodi con protagonisti e accertamenti differenti. Il tratto comune è il passaggio del rischio da un’app scelta dal consumatore a un componente già presente sul dispositivo. Midnight Mimosa mostra quanto questo meccanismo possa diventare articolato grazie a più programmi coordinati, server remoti e un mercato internazionale di telefoni a basso prezzo.

Che cosa può fare chi acquista uno smartphone

Per un consumatore è praticamente impossibile accorgersi della presenza di Midnight Mimosa e, anche riportare il telefono alle impostazioni di fabbrica risulta inefficace, perché il malware rimane nella parte del sistema operativo che contiene i programmi installati dal produttore. Persino sostituire il dispositivo con un altro esemplare dello stesso modello potrebbe rivelarsi inutile, qualora entrambi utilizzassero il medesimo software compromesso.

La soluzione deve arrivare anzitutto dai produttori e dai distributori, chiamati a verificare i dispositivi coinvolti e a fornire aggiornamenti capaci di eliminare l'infezione. Per gli acquirenti che sospettano di possedere uno smartphone compromesso, la strada più ragionevole consiste nel rivolgersi al venditore, chiedendo informazioni precise sul modello interessato, sulla disponibilità di un aggiornamento risolutivo e sulle possibilità di rimborso. Un'eventuale sostituzione dovrebbe riguardare un dispositivo con software differente e di cui sia stata verificata l'integrità. Nel frattempo, è prudente utilizzare un altro telefono affidabile per operazioni bancarie e accesso a servizi che custodiscono informazioni personali.

Eliminare Midnight Mimosa richiede interventi specialistici sul software di sistema, fuori dalla portata della maggior parte degli utenti. La ricerca documenta infezioni su specifici dispositivi Android, distribuiti attraverso diversi marchi e canali commerciali. La presenza del malware su un modello rappresenta un segnale da approfondire, anziché una prova di contaminazione di ogni esemplare in commercio. Il problema riguarda quindi soprattutto la sicurezza della produzione e della distribuzione degli smartphone, ambiti sui quali il consumatore dispone di possibilità di controllo estremamente limitate.

La soluzione più radicale è quella di evitare di acquistare smartphone ultra-economici di brand poco conosciuti al grande pubblico ma è un terreno minato, giacché non tutti i produttori di nicchia sono poco attendibili e, non di meno, subentrano le capacità di spesa degli acquirenti.