A Midnight Mimosa é uma campanha de malware para Android incorporada ao firmware, que monetiza smartphones comprometidos por meio de fraude publicitária e serviços de proxy residencial.
Revelada em 8 de outubro, a operação afetou milhares de dispositivos em mais de 150 países ao longo de cerca de dois anos, sobretudo celulares baratos com plataformas MediaTek.
Diferentemente de malwares que exigem o download de um arquivo malicioso, a Midnight Mimosa chega ao aparelho antes de ele chegar ao proprietário.
Seu componente de sistema com privilégios especiais instala e remove aplicativos silenciosamente, concede permissões e obtém código executável.
O ponto de entrada na cadeia de fornecimento de hardware continua desconhecido; as descobertas não comprovam que a MediaTek tenha introduzido a infecção.
Esses nomes imitam componentes legítimos do Android, mas os pesquisadores identificaram funcionalidades maliciosas compartilhadas, em vez de considerar qualquer nome de pacote individual como uma assinatura definitiva para detecção.
Uma biblioteca nativa, libeasy.so, descriptografa uma estrutura oculta que obtém configurações remotas de uma infraestrutura que se disfarça de serviço meteorológico. Outros módulos permitem a instalação silenciosa e a exibição de anúncios.
Os arquivos baixados usam extensões enganosas, incluindo componentes JAR (arquivos Java) identificados como .o e cargas maliciosas APK (pacotes de aplicativos Android) disponibilizadas como .png, o que dificulta a análise estática das amostras iniciais.
O malware manipula repetidamente as permissões de Acessibilidade, Acesso a notificações e SMS (Serviço de Mensagens Curtas). Os pesquisadores não observaram abuso das permissões de notificações ou SMS; portanto, esses recursos representam um risco potencial, mas não uma vigilância confirmada.
Antes da instalação de algumas cargas maliciosas, o programa desativa temporariamente o pacote com.android.vending, correspondente à Google Play Store, aparentemente para evitar verificações do Play Protect.
Pesquisadores da Bitdefender disseram que a investigação começou quando uma ferramenta de detecção comportamental identificou o pacote com.android.system.lite, sem ícone e identificado como "System".
Malware em firmware Android
A Bitdefender identificou pelo menos 32 aplicativos instalados pelo malware e disfarçados de ferramentas de previsão do tempo, bloqueadores de aplicativos, utilitários de notas, gerenciadores de arquivos e outros programas úteis.
Esses aplicativos de fachada carregam anúncios genuínos por meio de serviços legítimos de publicidade, enquanto janelas ocultas geram impressões sem interação visível do usuário.
Os países com mais dispositivos afetados são México, França e Itália, seguidos por Estados Unidos, Alemanha, Brasil e Espanha.
Outros componentes geram cliques artificiais, convertendo a atividade oculta em receita.
Os módulos de publicidade podem iniciar atividades indesejadas e exibir sobreposições quando a tela é ativada ou quando os operadores enviam comandos. Recursos de janela segura impedem que essas telas apareçam em capturas de tela ou gravações.
Restrições de horário e limites diários de cliques tornam as interações automatizadas menos perceptíveis, enquanto aplicativos que cooperam entre si distribuem a atividade publicitária pelo conjunto de programas instalados.
Uma carga maliciosa separada, com.mobile.applock.en, funciona como proxy TCP (protocolo de controle de transmissão), sem anúncios ou interface de usuário.
Ela se conecta pela porta 6000 e encaminha o tráfego para destinos escolhidos remotamente, transformando a conexão da vítima em parte de uma infraestrutura de proxy residencial.
Os pesquisadores descreveram possíveis usos em redes de dispositivos infectados e em ataques DDoS (ataques distribuídos de negação de serviço), mas não apresentaram evidências de uma campanha de DDoS documentada.
Treze aplicativos da Google Play também se comunicavam com a infraestrutura da operação e continham código correspondente à fraude publicitária.
Diferentemente dos implantes em firmware, esses aplicativos não tinham privilégios de sistema equivalentes e ofereciam funcionalidades legítimas.
A presença deles demonstra que os operadores combinaram a pré-instalação com privilégios especiais e a distribuição convencional por lojas de aplicativos, em vez de depender exclusivamente de firmware comprometido.
Parte do firmware afetado continha certificados associados à Shenzhen Zediel, mas essa atribuição não comprova autoria, conhecimento ou distribuição deliberada.
Infraestruturas compartilhadas também vincularam a investigação a atividades anteriormente relatadas como Android.Joker, Android.Phantom e Click. Essas correspondências históricas não devem ser confundidas com uma atribuição confirmada a um agente de ameaça identificado.
Como o componente persistente fica na partição do sistema, não é possível removê-lo com uma desinstalação comum.
A correção efetiva exige a limpeza do firmware por uma fonte confiável ou a intervenção do fabricante. Para esses dispositivos comprometidos, as equipes de defesa devem priorizar o monitoramento comportamental e a verificação da procedência do firmware, em vez de depender apenas de listas de bloqueio de nomes de pacotes.
Indicadores de comprometimento
Observação: endereços IP (protocolo de internet) e domínios foram desativados intencionalmente, por exemplo, com a substituição de pontos por [.], para evitar que sejam acessados ou transformados em links por engano. Reative-os apenas em plataformas controladas de inteligência contra ameaças, como MISP (plataforma de compartilhamento de informações sobre malware e ameaças), VirusTotal ou SIEM (sistema de gerenciamento de eventos e informações de segurança).
Interrompa ameaças cibernéticas antes que causem impacto, com um tempo médio para recuperação (MTTR) 21 minutos menor. Integre a área restrita do ANY.RUN ao seu centro de operações de segurança (SOC).
