Bitdefender odhalil kampaň Midnight Mimosa s malvérom vo firmvéri Android zariadení

Kampaň Midnight Mimosa 8. októbra 2026 opísal Bitdefender vo svojej technickej analýze. Malvér sa podľa výskumníkov nachádza priamo vo firmvéri niektorých lacných viacznačkových Android zariadení postavených na platforme MediaTek. Problém sa tak môže do telefónu dostať ešte pred jeho prvým zapnutím, nie až po nainštalovaní rizikovej aplikácie používateľom.

Jadrom kampane je trvalá systémová aplikácia so systémovými oprávneniami. Tie jej podľa Bitdefenderu umožňujú ticho inštalovať aj odstraňovať aplikácie, udeľovať im oprávnenia a načítavať vzdialený kód. Výskumníci identifikovali najmenej 32 doplnkových aplikácií maskovaných tak, aby ich aktivita nebola na prvý pohľad zrejmá.

Čo dokáže kampaň Midnight Mimosa

Bitdefender spája kampaň najmä s reklamnými a klikacími podvodmi. Infikované zariadenia môžu automatizovane vytvárať reklamné interakcie, ktoré majú operátorom prinášať príjmy. Súčasťou zisteného kódu je aj komponent určený na zneužitie telefónov ako rezidenčných proxy uzlov.

Rezidenčný proxy uzol môže presmerúvať sieťovú prevádzku cez pripojenie bežného používateľa. Takáto funkcia môže vzdialenému operátorovi umožniť využívať pripojenie kompromitovaného telefónu ako súčasť proxy infraštruktúry. Bitdefender uvádza, že aktivitu pozoroval približne dva roky na tisícoch zariadení vo viac než 150 krajinách.

Práve umiestnenie v systémovom firmvéri odlišuje tento prípad od bežného škodlivého softvéru v používateľských aplikáciách. Bezpečnostné návyky, ako je opatrné sťahovanie aplikácií, tak nemusia problém zachytiť. Nepostačuje ani štandardné odinštalovanie podozrivej aplikácie, keďže jadro infekcie zostáva systémovou súčasťou zariadenia.

Odstránenie nie je jednoduché

Podľa Bitdefenderu sú známymi možnosťami nápravy zásah do firmvéru alebo vypnutie príslušného komponentu cez ADB, teda nástroj Android Debug Bridge. Pre väčšinu majiteľov telefónov však nejde o bežný postup. Verejne nie je potvrdená univerzálna oprava firmvéru ani oficiálny patch od výrobcov, ktorý by pokrýval všetky potenciálne zasiahnuté zariadenia.

Riziko sa podľa dostupných zistení týka najmä veľmi lacných, white-label a falšovaných Android telefónov. Bitdefender však neuvádza, že by sa problém vzťahoval na každé lacné zariadenie s čipom MediaTek. Modelové označenia spojené so značkami Doogee a Cubot tiež samy osebe nedokazujú infekciu všetkých zariadení týchto značiek.

Nejasný pôvod v dodávateľskom reťazci

Prípad predstavuje kompromitáciu dodávateľského reťazca, no zatiaľ nie je potvrdené, kto malvér do reťazca vložil ani v ktorej fáze sa tak stalo. Na časti skúmaného firmvéru sa objavili certifikáty pripisované spoločnosti Shenzhen Zediel. Bitdefender zároveň neuvádza, že by tento nález dokazoval vytvorenie, distribúciu alebo vedomosť firmy o malvéri.

Bitdefender tiež spojil 13 aplikácií so spoločnou infraštruktúrou. Zostáva sledovať, či ich Google odstráni alebo označí, a či výrobcovia, predajcovia a online marketplacey zverejnia vyjadrenia či opravy firmvéru. Dôležité bude aj nezávislé potvrdenie rozsahu dotknutých modelov a objasnenie miesta, kde sa malvér do dodávateľského reťazca dostal.

Overené a aktualizované: 09. 10. 2026 15:28