Malware met de naam Midnight Mimosa is in staat om Android-telefoons te infecteren nog voordat deze voor de eerste keer worden ingeschakeld. De infectie vindt plaats via de firmware van het apparaat, waardoor de malware zich onopgemerkt toegang verschaft zonder dat er downloads, phishinglinks of app-machtigingen nodig zijn. Dit probleem is geworteld in de toeleveringsketen van apparaten, waarbij een verborgen systeemcomponent, gelabeld als "System", zich abnormaal gedraagt. Deze component is in staat om apps te installeren en machtigingen stilzwijgend te verlenen, en kan niet via de standaard de-installatieopties van de telefoon worden verwijderd.

De malware treft voornamelijk goedkope Android-apparaten van diverse merken die gebruikmaken van MediaTek-platforms. Sommige telefoons rapporteerden valse vlaggenschipnamen, wat de identificatie van het modelnummer, de hardware of de fabrikant bemoeilijkte. Een deel van de schadelijke code is verborgen in een native library. Tijdens het opstarten decodeert deze library een ingebedde APK, waarna een verborgen Java-framework wordt geladen. Dit framework downloadt vervolgens aanvullende modules, waardoor beheerders het gedrag van de telefoon na aankoop kunnen aanpassen.

Het primaire doel van de malware lijkt te zijn om financieel gewin te behalen door middel van frauduleuze advertentieactiviteiten en het aanbieden van residentiële proxy-diensten. De malware verleent beheerders ook de mogelijkheid om apps te installeren, te verwijderen en nieuwe code te laden zonder toestemming van de gebruiker. De systeemcomponent installeert en verwijdert deze payloads herhaaldelijk, wat leidt tot wijzigingen in de zichtbare app-inventaris, terwijl de oorspronkelijke firmware-infectie blijft bestaan.

Bitdefender heeft Midnight Mimosa geïdentificeerd nadat hun technologie voor het detecteren van app-anomalieën een systeemcomponent had gemarkeerd dat afwijkend gedrag vertoonde. Een rapport van Bitdefender, gepubliceerd op 8 oktober en bijgewerkt op 9 oktober, beschrijft duizenden getroffen apparaten in meer dan 150 landen over een observatieperiode van ongeveer twee jaar. Mexico, Frankrijk en Italië waren de landen met de meeste waargenomen distributie, gevolgd door de Verenigde Staten, Duitsland, Brazilië en Spanje.

Voordat payloads worden geïnstalleerd, schakelt de malware de Google Play Store-pakket tijdelijk uit om detectie door Play Protect te omzeilen, en schakelt het daarna weer in. De malware herstelt ook de winkelfunctionaliteit wanneer de gebruiker actief is op de telefoon. Sommige exemplaren van de malware registreren onjuist Google Play als hun installatieprogramma, ondanks dat ze niet over de distributiehandtekening van Google beschikken.

De betreffende systeemcomponent vraagt om gevoelige toegangsmachtigingen, waaronder Accessibility, meldingen en SMS. Onderzoekers observeerden herhaaldelijk het in- en uitschakelen van Accessibility en Notification Access, maar zagen deze functionaliteit niet ingezet voor gegevensdiefstal. De aanwezigheid van deze machtigingen, gecombineerd met het laden van externe code, biedt beheerders de mogelijkheid om de campagne uit te breiden buiten enkel advertentiefraude.

Onderzoekers troffen dezelfde advertentiefraude-code aan in 13 apps die beschikbaar waren op Google Play. Deze versies in de officiële winkel misten de systeemkracht van de vooraf geïnstalleerde malware, maar vertoonden desondanks advertenties buiten hun normale interface.

De malware verleent beheerders toegang om apps te installeren en te verwijderen. Bitdefender heeft ten minste 32 vermomde apps geïdentificeerd die deel uitmaken van de bredere operatie. Hieronder vallen onder andere weertools, app-sloten, bestandsbeheerders en tekstscanners. De advertentie-inkomsten worden gegenereerd via ogenschijnlijk normale dekmantel-apps die gebruikmaken van een legitieme advertentie-SDK. Verborgen activiteit creëert impressies en klikken zonder daadwerkelijke gebruikersinvoer, met tijdslimieten om het verkeer natuurlijk te laten lijken.

Een afzonderlijke, valse app-lock payload kan de telefoon inschrijven als een residentiële proxy. Dit stelt een externe beheerder in staat om internetverkeer via de verbinding van het apparaat te routeren. Eerder onderzoek naar de BADBOX Android proxy malware toont het bredere risico aan dat consumentenapparaten als netwerkrelais kunnen dienen. Bitdefender heeft echter geen verkeer waargenomen dat werd doorgestuurd tijdens hun recente tests.

Eerdere gevallen van vooraf geïnstalleerde Android-firmwaremalware hebben aangetoond dat het uitsluitend beoordelen van gedownloade apps een telefoon niet kan beschermen als deze al bij levering een betrouwbare, maar schadelijke, systeemcomponent bevat. Definitieve opschoning vereist interventie op firmware-niveau; normale verwijderingsmethoden zijn niet in staat de rootcomponent te verwijderen. Leveranciers en verkopers spelen een cruciale rol bij het oplossen van problemen met getroffen apparaten.

Sommige van de getroffen firmware-exemplaren maakten gebruik van certificaten met de naam Shenzhen Zediel, maar een direct verband met de creatie, goedkeuring of distributie van de malware kon niet worden vastgesteld. Het specifieke punt waarop de malware de toeleveringsketen is binnengedrongen, blijft onbekend. Een eerdere bevinding van een netwerk-IP-adres, dat aanvankelijk werd beschreven als een command server voor de proxy, bleek een sinkhole te zijn en geen bevestigde infrastructuur van aanvallers.