Midnight Mimosa: Bitdefender findet Schadsoftware in Android-Firmware

Sicherheitsforscher des IT-Sicherheitsunternehmens Bitdefender haben aufgedeckt, dass preiswerte Android-Smartphones mit vorinstallierter Schadsoftware in den Handel gelangen.

Die unter dem Namen Midnight Mimosa erfasste Kampagne zielt auf Mobiltelefone ab, bei denen die bösartigen Komponenten bereits vor der ersten Inbetriebnahme tief im System verankert sind. Die Malware ist in der Lage, eigenständig Verbindungen zu kapern und ohne das Wissen der Nutzer zusätzliche Anwendungen zu installieren.

Schadsoftware fest in der Firmware verankert

Die Analyse von Bitdefender zeigt, dass die Manipulation direkt im Firmware-Bereich von Multi-Brand-Geräten mit MediaTek-Chipsätzen vorgenommen wurde. Betroffen sind Schadpakete wie com.android.system.lite, com.android.sys.prot sowie com.android.sys.gmsprot. Da sich die Programme in den geschützten Systempartitionen befinden, reicht eine herkömmliche Deinstallation nicht aus, um die Infektion von den Geräten zu beseitigen.

Nach Angaben der Sicherheitsexperten ist eine Entfernung ausschließlich mit vertieftem technischem Fachwissen möglich, beispielsweise über Schnittstellen wie die Android Debug Bridge (ADB). Einmal aktiv, kann die Software heimlich weitere Apps aufspielen oder löschen.

Zudem verfügt sie über Mechanismen zur Umgehung von Schutzfunktionen: So schaltet die Schadsoftware zeitweise den offiziellen Google Play Store ab, um den Sicherheitsdienst Google Play Protect zu umgehen.

Wer sich mit der Sicherheit seines Mobiltelefons befasst, sollte die grundlegenden Schutzmechanismen für das Betriebssystem kennen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen für Android-Smartphones jetzt entdecken

Werbebetrug und Botnet-Funktionen über Ländergrenzen hinweg

Bitdefender beobachtete die Aktivitäten über einen Zeitraum von rund zwei Jahren auf tausenden Geräten in mehr als 150 Ländern. Zu den am stärksten betroffenen Staaten zählen Mexiko, Frankreich und Italien, gefolgt von den USA, Deutschland, Brasilien und Spanien.

Ein wesentlicher Einsatzzweck der Malware liegt im Werbebetrug. Mindestens 32 getarnte Programme, darunter scheinbare Wetter-Apps und Anwendungen zur Zugriffssicherung, wurden für gefälschte Anzeigenaktivitäten genutzt. Insgesamt identifizierten die Analysten 13 spezifische Apps, zu denen Namen wie Wavrge, Audify, QR Pocket, WeatherGo und NoteMaster gehören.

Diese Anwendungen stehen derzeit nicht im Google Play Store zum Download bereit. Darüber hinaus verfügt das System nachweislich über Funktionen, um die Smartphones als Knotenpunkte in einem Botnet oder als sogenannte Residential-Proxys zu nutzen. Eine aktive Weiterleitung von Datenverkehr konnten die Prüfer im Test allerdings nicht nachweisen.

Ein veraltetes Betriebssystem kann eine erhebliche Sicherheitslücke darstellen, die von Kriminellen für Malware und Datenklau ausgenutzt wird. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Einstellungen und regelmäßige Updates Ihr Gerät dauerhaft schützen. Kostenlosen Android-Sicherheits-Report herunterladen

Unklare Urheberschaft und Parallelen zu früheren Vorfällen

Die Firmware der betroffenen Geräte wurde teilweise mit Zertifikaten des Unternehmens Shenzhen Zediel digital signiert. Bitdefender betont jedoch, dass die tatsächliche Herkunft der bösartigen Komponenten sowie die genaue Rolle von Shenzhen Zediel bislang unklar sind. Das Sicherheitsunternehmen nimmt daher keine direkte Zuschreibung der Kampagne an einen bestimmten Akteur vor.

Einschlägige Parallelen sehen die Sicherheitsanalysten zu dem Vorgängerfall BADBOX 2.0 aus dem Jahr 2025. Damals waren weltweit über 1 Million Geräte durch manipulierte Lieferketten und infizierte Vorinstallationen kompromittiert worden. Der aktuelle Fund unterstreicht erneut die Risiken, die von unzureichend kontrollierten Lieferketten im Niedrigpreissegment von Mobilgeräten ausgehen können.