Sicherheitsexperten des IT-Sicherheitsunternehmens Bitdefender berichten über eine tief im Betriebssystem verankerte Bedrohung auf preisgünstigen Android-Geräten. Eine Firmware-Malware namens „Midnight Mimosa“ wurde auf Geräten verschiedener Marken identifiziert, die auf Chipsätzen des Herstellers MediaTek basieren.
Die Schadsoftware befindet sich bereits vor dem ersten Gerätestart im Firmware-Abbild und lässt sich mit herkömmlichen Bordmitteln nicht deinstallieren. Da die Schadroutine mit umfassenden Systemrechten operiert, kann sie unbemerkt Anwendungen installieren und entfernen, Berechtigungen manipulieren und beliebigen Schadcode aus der Ferne ausführen.
Globale Verbreitung und Umwandlung in Botnetze
Nach Angaben von Bitdefender dient die Schadsoftware vorrangig dem Werbe- und Klickbetrug, dem systematischen Ausspähen von Geräte- und Applikationsdaten sowie der Umwandlung infizierter Mobiltelefone in Proxy-Knotenpunkte für Wohnnetzwerke und Botnetze.
Die Experten beobachteten die Aktivitäten auf Tausenden Geräten in mehr als 150 Ländern. Zu den am stärksten betroffenen Regionen zählen Mexiko, Frankreich und Italien, gefolgt von den USA, Deutschland, Brasilien und Spanien.
Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte die grundlegenden Abwehrmechanismen gegen Schadsoftware kennen. Dieser kostenlose Ratgeber zeigt in 5 einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam vor Hackern und Viren schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Die Verteilung der betroffenen Modelle zeigt eine starke Fragmentierung im Niedrigpreissegment: Über elf Prozent der kompromittierten Telefone meldeten sich als Modell „KINGKONG X“ der Marke Cubot, während mehr als vier Prozent auf das „S200 X“ von Doogee entfielen.
Allerdings machen die 15 am häufigsten betroffenen Marken zusammen lediglich 35,8 Prozent der eindeutig identifizierten Infektionen aus. Satte 64 Prozent ordnen die Analysten sonstigen Herstellern und No-Name-Fabrikaten zu.
Häufig treten dabei gefälschte Gerätekennungen auf, darunter Bezeichnungen wie „i17 Pro Max“, „i16_Pro_Max“, „17_Pro_Max“, „iPadAirPro“, „S25 Ultra“, „S24 Ultra“, „Note 18 Ultra“ sowie der Samsung-Modellcode SM-S938B.
Manipulation des Play Stores und getarnte Anwendungen
Die Schadsoftware tarnt ihre Hauptkomponente unter dem unscheinbaren Namen „System“ ohne eigenes Programmsymbol. Technisch tritt sie unter Bezeichnungen wie com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot oder com.android.sys.bcprot auf.
Nach der Initialisierung übermittelt das Programm sensible Identifikatoren wie die IMEI, die Android-ID, die MAC-Adresse und die lokale Zeitzone an Steuerungs-Server. Zudem fordert die Malware gezielt Zugriffsrechte für Bedienungshilfen, Benachrichtigungen und SMS-Dienste an.
Ein veraltetes System oder unbemerkte Sicherheitslücken machen Smartphones oft erst zur Zielscheibe für Cyberkriminelle. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates und Einstellungen Datenverlust und Malware dauerhaft verhindern können. Android-Sicherheits-Report jetzt gratis herunterladen
Bitdefender identifizierte mindestens 32 getarnte Payload-Programme, die als Alltagsanwendungen wie Wetter-Apps, App-Sperren, Notizprogramme, Texterkennungstools, Dateimanager oder Audio-Editoren fungieren. Zudem wurden 13 Programme im offiziellen Google Play Store entdeckt, die denselben Schadcode oder identische Steuerungs-Server nutzten.
Diese Anwendungen wurden über mindestens zwei Entwicklerkonten namens fivedev und CPS Developer mit 13 Zertifikaten bereitgestellt. Um Erkennungsmechanismen zu umgehen, deaktiviert die Malware den Google Play Store vor dem Herunterladen weiterer Komponenten kurzzeitig, um die Prüfung durch Google Play Protect auszuhebeln, und schaltet ihn anschließend wieder ein.
Unklare Lieferkette erschwert die Bereinigung
Teile der manipulierten Firmware wurden mit Zertifikaten signiert, die auf Shenzhen Zediel Co., Ltd. (Zedi Technology) ausgestellt sind. Bitdefender betont jedoch, dass eine tatsächliche Beteiligung des Unternehmens unklar ist und keine offizielle Zuschreibung vorgenommen werden kann.
Ebenso bleibt offen, an welcher Stelle der Lieferkette die Manipulation vorgenommen wurde – denkbar sind Original Design Manufacturer (ODM), Firmware-Integratoren oder Akteure in der Logistikkette.
Für Betroffene stellt Midnight Mimosa ein gravierendes Problem dar, da ein herkömmliches Zurücksetzen auf die Werkseinstellungen die im Systemabbild verankerte Schadsoftware nicht zuverlässig beseitigt. Eine Entfernung ist nach derzeitigem Stand nur über eine manuelle Bereinigung der Firmware oder über die Android Debug Bridge (ADB) möglich. Ein offizieller Sicherheitspatch zur Schließung der Lücke ist bislang nicht bestätigt.