Une campagne de cybercriminalité baptisée Midnight Mimosa compromet la sécurité de milliers de smartphones Android à travers le monde. Ce logiciel malveillant, dissimulé directement dans le firmware des appareils avant même leur commercialisation, permet aux pirates de prendre le contrôle total des terminaux à l'insu de leurs propriétaires.
Une intrusion au cœur du système
Le malware, identifié sous le nom de code com.android.system.lite, s'installe dans la partition système des smartphones, rendant sa suppression impossible par les méthodes conventionnelles. En bénéficiant des privilèges du système, ce composant peut installer ou supprimer des applications en toute discrétion et exécuter du code à distance. Les chercheurs en cybersécurité ont également constaté que ces appareils infectés sont transformés en proxys résidentiels, permettant à des tiers malveillants de faire transiter leur trafic internet via l'adresse IP de la victime.
Des appareils contrefaits et des marques ciblées
La menace touche deux types de produits : des smartphones d'entrée de gamme de marques réelles, comme Doogee ou Cubot, et des contrefaçons grossières usurpant l'identité de modèles haut de gamme, tels que le Samsung Galaxy S25 Ultra ou l'iPhone 17 Pro Max. Bien que des certificats de signature au nom de fabricants de tablettes aient été identifiés, l'origine exacte de l'injection du code malveillant dans la chaîne logistique reste à ce jour indéterminée. Cette persistance au niveau du firmware signifie que les utilisateurs ne peuvent pas se protéger par une simple réinitialisation d'usine.
Fraude publicitaire et risques accrus
L'objectif principal des opérateurs de Midnight Mimosa est la génération de revenus publicitaires frauduleux. Le malware installe des applications tierces en arrière-plan pour simuler des clics et des impressions publicitaires, tout en contournant les protections de Google Play Protect. Par ailleurs, le module dispose d'autorisations sensibles, notamment l'accès aux SMS et aux services d'accessibilité. Si ces fonctionnalités ne sont pas systématiquement exploitées, elles offrent aux pirates la possibilité d'intercepter des codes de vérification à usage unique ou de surveiller l'activité à l'écran, exposant les données personnelles des utilisateurs à un risque majeur.
Une menace étendue au-delà des contrefaçons
Au-delà des appareils infectés en usine, les chercheurs ont découvert que la campagne s'étend au Google Play Store. Treize applications légitimes, incluant des outils de lecture de QR codes et des services météo, ont été identifiées comme porteuses des marqueurs de fraude de Midnight Mimosa. Bien que Google puisse retirer ces applications de sa plateforme, cette mesure ne résout pas le problème structurel des smartphones dont le firmware est nativement compromis, laissant les utilisateurs concernés sans solution de remédiation simple.