Malware έρχεται από το εργοστάσιο σε φθηνά Android κινητά, ακόμα και σε «μαϊμού» Galaxy

Χιλιάδες φθηνά κινητά Android από μικρές ή άγνωστες μάρκες βγαίνουν από το κουτί με malware ήδη μέσα στο firmware, σύμφωνα με έρευνα της εταιρείας κυβερνοασφάλειας Bitdefender. Η καμπάνια ονομάστηκε «Midnight Mimosa» και αφορά συσκευές με επεξεργαστές MediaTek χαμηλής κατανάλωσης.

Τα κινητά πωλούνται με διάφορα ονόματα, από μοντέλα της Cubot και της Doogee μέχρι απομιμήσεις των Samsung Galaxy S24, S25 και S26.

Πώς δουλεύει το malware Midnight Mimosa

Το Midnight Mimosa εγκαθιστά στο κινητό μια εφαρμογή με το αθώο όνομα «System» και package name com.android.system.lite. Η εφαρμογή τρέχει με πλήρη δικαιώματα συστήματος και κατεβάζει και σβήνει συνεχώς εφαρμογές που δείχνουν ακίνδυνες, όπως εφαρμογές καιρού ή κλειδώματος εφαρμογών. Μέσα από αυτές βγάζει διαφημίσεις πλήρους οθόνης αλλά και αόρατες, ακόμα κι αν ο χρήστης δεν έχει ανοίξει ποτέ τις εφαρμογές.

Ο δημιουργός του βγάζει χρήματα με δύο τρόπους. Βάζει πραγματικές διαφημίσεις μέσα σε εγκατεστημένες εφαρμογές και από κάτω κρύβει δόλια διαφημιστική δραστηριότητα. Ο κώδικας είναι γραμμένος έτσι ώστε να μην το καταλαβαίνει ο χρήστης και να περνά από τους ελέγχους ασφαλείας.

Οι διαφημίσεις είναι το μικρότερο πρόβλημα.

Το malware αφήνει ανοιχτές πόρτες, από τις οποίες άλλοι hackers μπορούν να πάρουν τον έλεγχο της συσκευής. Μπορεί επίσης να εγκαταστήσει εφαρμογές άσχετες με τη διαφημιστική απάτη, για παράδειγμα για να βάλει το κινητό σε botnet ή σε επιθέσεις DDoS.

Σε ποιες χώρες εντοπίστηκε το Midnight Mimosa και ποιος είναι πίσω του

Η Bitdefender εντόπισε χιλιάδες μολυσμένες συσκευές μέσα στο 2024 και το 2025. Ο πραγματικός αριθμός είναι πιθανότατα μεγαλύτερος. Πρώτο στη λίστα είναι το Μεξικό με το 13% των συσκευών. Οι ΗΠΑ είναι τέταρτες με 8% και ο Καναδάς ένατος με λιγότερο από 3%.

Οι ερευνητές δεν βρήκαν σε ποιο σημείο της εφοδιαστικής αλυσίδας μπαίνει το malware. Μπορεί να μπαίνει στον κατασκευαστή, στον προμηθευτή του firmware, στη μάρκα που πουλά το κινητό ή κάπου στη μεταφορά. Υπάρχει πάντως ένα στοιχείο: οι ψηφιακές υπογραφές των εφαρμογών οδηγούν σε μία μόνο πηγή, την Shenzhen Zediel. Η Shenzhen Zediel είναι ODM, δηλαδή φτιάχνει Android συσκευές για λογαριασμό άλλων εταιρειών.

Η ίδια εταιρεία είχε υπογράψει άλλες 13 εφαρμογές με παρόμοιο κώδικα διαφημιστικής απάτης, που κυκλοφορούσαν ελεύθερα στο Google Play. Έτσι έφταναν και σε κινητά που δεν ήταν μολυσμένα από πριν, όπως και άλλα κρυφά malware στο Google Play. Σύμφωνα με τους ερευνητές, οι εφαρμογές έχουν πλέον αφαιρεθεί.

Η «γκρίζα» αγορά των Android κινητών έχει ξαναζήσει τέτοιες ιστορίες. Το 2018 η αμερικανική Blu βρέθηκε στο στόχαστρο της FTC, γιατί ο εξωτερικός συνεργάτης της για το firmware μάζευε δεδομένα, μηνύματα και αρχεία κλήσεων των χρηστών. Το 2016 ένας άλλος προμηθευτής firmware, η Ragentek, είχε βάλει σε εκατομμύρια κινητά των Blu, Infinix, Doogee, Xolo και άλλων εταιρειών ένα εργαλείο ενημερώσεων. Το εργαλείο συνδεόταν σε δύο domains που δεν είχαν καταχωριστεί, άρα θα μπορούσε να το εκμεταλλευτεί οποιοσδήποτε τα καταχώριζε.

Οι Google, Motorola και Samsung έχουν κι αυτές περάσει από κενά ασφαλείας, με ένα σοβαρό στα Pixel πριν από μερικά χρόνια. Διαθέτουν όμως διαδικασίες που προστατεύουν το firmware τους, ελέγχουν πώς ενημερώνεται και ορίζουν πώς βοηθούν τον κάτοχο αν κάτι πάει στραβά.