Midnight Mimosa: il malware Android già presente nel telefono

Midnight Mimosa è il nome dato da Bitdefender a una campagna malware che interessa alcuni smartphone Android economici con software compromesso già prima dell’acquisto. Non è una semplice app scaricata per errore: nelle unità esaminate dai ricercatori, il componente malevolo è integrato nel firmware e può ottenere privilegi elevati. Questo non significa che ogni telefono Android economico sia infetto.

Cos’è Midnight Mimosa e come funziona

Nell’indagine tecnica pubblicata l’8 ottobre 2026, Bitdefender descrive applicazioni di sistema presenti in alcuni dispositivi Android basati su piattaforme MediaTek. Uno dei pacchetti individuati si presenta come com.android.system.lite, ma la famiglia usa anche altri nomi simili a componenti legittimi. Il nome da solo, quindi, non basta per stabilire se un telefono sia compromesso.

Grazie ai privilegi di sistema, il codice può installare e rimuovere app in silenzio, assegnare autorizzazioni e caricare moduli ricevuti da server remoti. Il meccanismo rende difficile difendersi con la sola eliminazione di un’app visibile.

Quali rischi corre chi usa uno smartphone infetto

Secondo Bitdefender, uno degli obiettivi osservati è la frode pubblicitaria: app apparentemente normali, come strumenti meteo o di gestione dei file, possono generare visualizzazioni e clic non autorizzati. I dispositivi coinvolti possono inoltre fungere da proxy residenziali, cioè inoltrare traffico di terzi attraverso la connessione del proprietario, e diventare parte di infrastrutture controllate da remoto.

I ricercatori riferiscono anche la disponibilità di permessi sensibili, ma è importante distinguere le capacità tecniche del malware dagli abusi effettivamente osservati: non si può affermare che ogni dispositivo compromesso abbia subito ogni possibile forma di sottrazione dati.

Quali telefoni sono coinvolti? Non tutti gli Android economici

La ricerca riguarda alcuni dispositivi a basso costo e di marchi differenti, inclusi prodotti commercializzati con nomi che ricordano smartphone più conosciuti. Il riferimento ai chip MediaTek non indica che tutti i telefoni con quel processore siano vulnerabili o infetti. Non è corretto pubblicare un elenco generale di modelli senza una corrispondenza documentata con gli esemplari analizzati.

Bitdefender segnala inoltre 13 app presenti su Google Play collegate alla medesima infrastruttura: questi programmi non hanno necessariamente gli stessi privilegi di un componente preinstallato nel sistema. L’origine dell’app e il livello di autorizzazioni cambiano il rischio.

Come proteggersi da Midnight Mimosa

1. Verifica provenienza e venditore: diffida di dispositivi presentati come modelli premium a prezzi insolitamente bassi, soprattutto se il marchio o il supporto software non sono chiari.
2. Controlla aggiornamenti e protezioni: mantieni aggiornato Android e attiva Google Play Protect. Sono precauzioni utili, ma non garantiscono la rimozione di un malware integrato nel firmware.
3. Osserva comportamenti anomali: installazioni inattese, consumo di dati insolito o app che ricompaiono meritano un controllo, anche se da soli non dimostrano la presenza di Midnight Mimosa.
4. Se sospetti una compromissione del firmware: evita operazioni sensibili dal dispositivo, chiedi supporto al produttore o al venditore e valuta la sostituzione con un modello supportato. Un semplice ripristino di fabbrica potrebbe non risolvere il problema.

Un reset basta a eliminare il malware?

Non necessariamente. Quando il componente malevolo si trova nel software di sistema, cancellare i dati personali non equivale a sostituire con certezza il firmware compromesso. Installare firmware non verificati o seguire istruzioni casuali di flashing può aggravare il rischio. Meglio usare soltanto procedure ufficiali per il modello esatto.

Il punto centrale dell’indagine è la sicurezza della catena di distribuzione degli smartphone: anche un utente prudente può ricevere un dispositivo già compromesso. Per leggere tutti i dettagli tecnici, le evidenze e i limiti del caso, la fonte di riferimento è il riepilogo di Bitdefender insieme alla ricerca originale.