Smartphone economici, il rischio invisibile che arriva già dalla fabbrica

Chi teme di avere un telefono compromesso da Midnight Mimosa non può contare soltanto sul ripristino delle impostazioni iniziali. Il codice dannoso risiede infatti nella parte del sistema installata dal produttore e può restare attivo anche dopo la cancellazione dei dati personali.

La scelta più prudente consiste nel contattare il venditore e chiedere se il modello rientra tra quelli interessati, se esiste un aggiornamento correttivo e quali opzioni siano previste per la sostituzione o il rimborso. Nel frattempo, per operazioni bancarie e accesso a servizi contenenti informazioni sensibili, sarebbe preferibile usare un altro dispositivo affidabile.

Rimuoverlo non è un’operazione comune

L’eliminazione del malware richiede modifiche al software di sistema che, nella maggior parte dei casi, non possono essere eseguite autonomamente dall’utente. Cambiare telefono potrebbe inoltre non risolvere il problema se il nuovo esemplare monta lo stesso pacchetto software alterato.

La responsabilità di verificare gli apparecchi e distribuire un aggiornamento efficace ricade soprattutto su produttori e distributori. Le infezioni osservate riguardano modelli specifici, venduti con marchi e attraverso canali commerciali differenti: non è quindi possibile estendere automaticamente il rischio a tutti gli smartphone Android economici.

Un pericolo già dentro il telefono

Il caso riguarda dispositivi che, al momento dell’acquisto, possono sembrare normali e funzionanti. In alcuni esemplari, però, Midnight Mimosa è presente prima ancora della prima accensione, spostando il problema dalla prudenza nella scelta delle applicazioni alla filiera che prepara e vende il telefono.

A descrivere la campagna è una ricerca di Bitdefender pubblicata l’8 ottobre. L’analisi copre circa due anni, migliaia di apparecchi e più di 150 Paesi; tra le aree con il maggior numero di rilevazioni compare anche l’Italia. I dati provengono dagli strumenti dell’azienda e non equivalgono a una mappatura completa dell’intero mercato Android.

Il codice si nasconde nel firmware

Midnight Mimosa è stato trovato nel firmware, cioè l’insieme dei componenti software fondamentali per l’avvio del dispositivo e il funzionamento di Android. Invece di apparire come un’applicazione sospetta, il programma può assumere un’identità generica, nascondere la propria icona e confondersi con gli elementi legittimi del sistema.

Una delle componenti esaminate da Bitdefender porta il nome com.android.system.lite. I privilegi assegnati le consentono di installare o eliminare applicazioni, concedere autorizzazioni e ricevere comandi attraverso la rete. Il modulo può inoltre scaricare ulteriori parti del sistema malevolo, modificando nel tempo le attività eseguite sul telefono.

Pubblicità fasulle e connessioni sfruttate

L’obiettivo principale individuato dai ricercatori è economico. Il malware può aggiungere programmi che imitano strumenti di uso quotidiano, come applicazioni meteorologiche, gestori di file o sistemi per bloccare altre app. Alcuni di questi componenti mostrano annunci in aree non visibili all’utente oppure producono interazioni automatiche, creando guadagni pubblicitari basati su attività artificiali.

Un’altra funzione trasforma la connessione del proprietario in un proxy residenziale. Il traffico viene fatto transitare dal telefono, che espone verso l’esterno il proprio indirizzo di rete invece di quello del soggetto che impartisce gli ordini. Più dispositivi possono essere coordinati in una botnet e impiegati per generare grandi quantità di richieste dirette a servizi online.

Le difese possono essere aggirate

I privilegi di sistema permettono a Midnight Mimosa di rendere più difficile la propria individuazione. Prima di installare determinati moduli, alcune varianti disattivano temporaneamente Google Play Store, l’applicazione che integra anche funzioni locali di Play Protect per il rilevamento dei programmi pericolosi.

Il codice può anche falsificare l’origine apparente delle applicazioni, facendo risultare provenienti da Google Play componenti inseriti attraverso altri canali. La ricerca ha inoltre collegato al fenomeno 13 applicazioni che, quando sono state esaminate, risultavano disponibili nello store ufficiale e condividevano parte dell’infrastruttura e dei server usati per la frode pubblicitaria.

Italia tra le aree più colpite

Le segnalazioni raccolte da Bitdefender si concentrano soprattutto in Messico, Francia e Italia. Seguono Stati Uniti, Germania, Brasile e Spagna. I dispositivi identificati utilizzano piattaforme MediaTek, un elemento che indica il tipo di tecnologia impiegata ma non consente, da solo, di attribuire l’alterazione al produttore del processore.

Resta infatti da chiarire in quale passaggio della filiera venga inserito il codice. Il software può essere preparato da aziende che progettano gli apparecchi, da imprese che adattano Android per più marchi o da altri operatori coinvolti nella distribuzione. Su alcuni firmware certificati Bitdefender ha rilevato firme digitali associate al nome Shenzhen Zediel, un indizio tecnico che richiede ulteriori verifiche e non dimostra da solo l’origine dell’infezione.

Non è il primo caso noto

Il problema dei programmi malevoli preinstallati era già emerso nel gennaio 2020, quando il telefono UniMax U683CL, venduto negli Stati Uniti, era stato associato a componenti capaci di aggiungere software e visualizzare pubblicità indesiderata.

Nell’agosto dello stesso anno Secure-D aveva segnalato Triada e xHelper su alcuni Tecno W2 prodotti da Transsion. Secondo l’azienda di sicurezza, i programmi potevano attivare abbonamenti a pagamento senza il consenso degli utenti. Transsion aveva negato un inserimento intenzionale e indicato nei fornitori esterni una possibile fonte della compromissione.

I casi non sono identici per protagonisti e responsabilità accertate. Il punto in comune è il trasferimento del rischio dall’applicazione scelta dal consumatore a un componente già presente nel dispositivo, una dinamica che Midnight Mimosa rende più complessa attraverso moduli coordinati, server remoti e una distribuzione internazionale di telefoni a basso prezzo.