Campagne Midnight Mimosa : quand l’infection commence dans le firmware des smartphones Android low-cost

Selon les chercheurs de Bitdefender, des milliers de smartphones Android vendus en France contenaient un malware préinstallé dans leur firmware, capable de transformer l’appareil en proxy résidentiel et de générer de la fraude publicitaire à l’insu de l’utilisateur. Cette campagne, baptisée « Midnight Mimosa », a sévi pendant près de deux ans et touché plus de 150 pays, avec une concentration particulière en France, au Mexique, en Italie et aux États-Unis.

L’infection survient bien avant que l’utilisateur n’allume son téléphone pour la première fois. Les modèles concernés sont des smartphones low-cost équipés de puces MediaTek, vendus sous des marques parfois légitimes (Doogee, Cubot) ou contrefaisant des géants comme Samsung et Apple. Le malware est directement intégré dans la partition système du firmware, ce qui lui confère des privilèges élevés et le rend extrêmement difficile à supprimer. Dans cet article, nous analysons le fonctionnement de Midnight Mimosa, ses mécanismes de fraude et de proxy résidentiel, et donnons des pistes concrètes pour détecter et nettoyer une infection.

Midnight Mimosa : un malware ancré dans le firmware des téléphones low-cost

Des appareils ciblés : puces MediaTek et modèles contrefaits

Le point commun des smartphones infectés est l’utilisation de processeurs MediaTek, très répandus sur le segment des téléphones à bas coût. Les chercheurs ont identifié deux modèles officiels - le Doogee S200 X et le Cubot KINGKONG X - ainsi que des copies de Samsung Galaxy et d’iPhone. Dans tous les cas, le micrologiciel (firmware) a été modifié à une étape inconnue de la chaîne d’approvisionnement. Bitdefender n’a pas pu déterminer si la contamination a eu lieu chez le fabricant, chez un assembleur ou lors du transport.

« Le système d’exploitation lui-même ne génère pas les impressions et clics frauduleux. Ce sont les applications de couverture, téléchargées par le malware, qui chargent de la publicité légitime via un SDK publicitaire. L’objectif est simple : afficher une fenêtre invisible par-dessus les applications pour enregistrer des annonces. » - Bitdefender

Des applications malveillantes déguisées en paquets système Android

Midnight Mimosa utilise des noms qui imitent les composants système d’Android : com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot. Ces applications sont signées et bénéficient de privilèges système, ce qui empêche leur désinstallation via les paramètres habituels. Une fois actif, le malware peut installer ou retirer silencieusement d’autres programmes, accorder des permissions sensibles et exécuter du code téléchargé à distance sans aucune interaction de l’utilisateur.

Fonctionnalités du malware : fraude publicitaire et proxy résidentiel

Ad fraud : des impressions invisibles et des clics automatisés

Le cœur de Midnight Mimosa est un framework qui télécharge environ 32 applications depuis des serveurs de commande et de contrôle (C2). Ces applications déguisées en utilitaires (météo, bloc-notes, OCR, gestionnaire de fichiers) intègrent un SDK publicitaire légitime. En arrière-plan, elles génèrent des impressions et des clics frauduleux sans que l’utilisateur ne voie jamais les annonces. Bitdefender a même observé des fenêtres publicitaires invisibles placées au-dessus d’autres applications pour enregistrer artificiellement des vues.

• Fraude par clics automatisés : le malware simule des interactions avec les annonces, ce qui rapporte de l’argent aux opérateurs de la campagne via les régies publicitaires.
• Impressions fantômes : des publicités sont chargées puis immédiatement masquées, générant un revenu sans aucune exposition réelle.
• Désactivation temporaire de Google Play : avant d’installer une nouvelle application malveillante, le malware met en pause le service com.android.vending pour éviter que Google Play Protect ne détecte l’installation. Une fois l’opération terminée, il le réactive.

Proxy résidentiel : l’appareil comme relais de trafic anonyme

Une fonctionnalité particulièrement préoccupante est la transformation du téléphone en proxy résidentiel. Le malware installe une application com.mobile.applock.en qui contient un composant TCP proxy. L’appareil infecté s’enregistre auprès d’un serveur C2 et peut ensuite recevoir l’ordre de relayer du trafic vers des destinations spécifiques. Cela permet aux attaquants de masquer leurs activités (attaques, exfiltration de données) derrière l’adresse IP de la victime, rendant les origines des attaques bien plus difficiles à tracer.

« Le proxy C2 était opérationnel et acceptait les enregistrements de nouveaux appareils. » - Bitdefender

Comment le malware se répand malgré la protection de Google Play

L’élément le plus frappant est la présence de 13 applications contenant le même code de fraude publicitaire sur le Google Play Store lui-même. Distribuées sous les identifiants développeurs fivedev et CPS Developer, ces applications ne disposent pas des privilèges système des composants firmware, mais elles peuvent quand même afficher des publicités en dehors de leur interface, y compris lorsque l’utilisateur n’utilise pas le téléphone. Cette double contamination (firmware + store) montre une sophistication dans la stratégie de déploiement.

Comment les attaquants ont-ils pu contourner les contrôles de Google ? Les chercheurs expliquent que les applications signées avec treize certificats différents, et qu’elles utilisaient des fonctionnalités légitimes (SDK publicitaire) pour générer les fraudes. Google Play Protect n’a pas détecté l’anomalie car les applications ne violaient pas ouvertement les règles de la plateforme - la malveillance résidait dans l’utilisation détournée des publicités en mode caché. Cette approche rappelle les campagnes de phishing AiTM ciblant les experts en IA du groupe TA419, qui exploitent également des techniques furtives pour contourner les contrôles de sécurité.

Identifier et neutraliser l’infection : les solutions pour les utilisateurs

Signes d’infection sur son smartphone

Plusieurs indices peuvent alerter un utilisateur averti :

1. Une batterie qui se décharge anormalement vite, due à la sollicitation constante du processeur et de la connexion réseau.
2. Des applications système inconnues comme com.android.system.lite ou com.android.sys.prot dans la liste des applications (souvent visibles uniquement via les paramètres développeurs).
3. Des fenêtres publicitaires qui apparaissent sans raison, même en dehors des applications.
4. Un débit internet ralenti, possible signe d’un relais de trafic proxy actif.
5. L’impossibilité de désinstaller certaines applications par les moyens normaux.

Procédure de nettoyage par mise à jour du firmware ou ADB

Supprimer Midnight Mimosa est complexe car le malware réside dans la partition système. Deux méthodes principales existent :

• Mise à jour officielle du firmware : certains utilisateurs ont rapporté que les fabricants (Doogee, Cubot) ont publié des mises à jour corrigeant l’infection. Vérifiez la section « Mise à jour système » de votre téléphone. Si une mise à jour du firmware est disponible, installez-la immédiatement.
• Utilisation d’Android Debug Bridge (ADB) : pour les utilisateurs techniques, désactiver le composant malveillant via ADB peut fonctionner. Les commandes consistent à lister les paquets système, identifier les paquets suspects (par exemple : com.android.system.lite), puis les désactiver ou les supprimer. Bitdefender déconseille cette méthode aux non-initiés, car une erreur peut rendre le téléphone instable.

Recommandation ANSSI : Privilégiez l’achat de smartphones auprès de revendeurs agréés et évitez les modèles low-cost sans traçabilité claire. Si vous suspectez une infection, contactez le support du fabricant avant d’entreprendre des manipulations avancées.

Leçons pour la cybersécurité des mobiles en 2026

La campagne Midnight Mimosa illustre un risque croissant : la compromission de la chaîne d’approvisionnement des terminaux mobiles. Contrairement à un malware classique qui nécessite l’installation d’une application par l’utilisateur, ici l’infection est présente dès le déballage. Les fabricants de smartphones low-cost sont souvent basés dans des pays aux régulations moins strictes, et les contrôles de sécurité sur les firmwares sont insuffisants.

Pour les entreprises françaises, l’enjeu est double : d’une part, la protection des données des collaborateurs utilisant des téléphones professionnels ; d’autre part, la prévention des fuites de réseau via des proxies résidentiels malveillants. L’ANSSI recommande notamment d’auditer les terminaux mobiles avant leur déploiement et de privilégier des sources fiables pour les approvisionnements. Pour les étudiants et jeunes diplômés souhaitant se former à ces enjeux, le Crédit Agricole propose des offres d’alternance en cybersécurité pour la rentrée 2026.

Tableau récapitulatif des menaces de Midnight Mimosa

Conclusion : une menace silencieuse mais bien réelle

Midnight Mimosa n’est pas une menace hypothétique : elle a infecté des milliers de smartphones low-cost dans plus de 150 pays, y compris en France. À l’instar des agents IA non autorisés qui menacent le web ouvert, cette campagne illustre comment une compromission systémique peut passer inaperçue. La combinaison de fraude publicitaire et de proxy résidentiel en fait un outil polyvalent pour les cybercriminels. Pour s’en prémunir, privilégiez des téléphones de marques reconnues, mettez régulièrement à jour le firmware, et restez attentif aux signes d’infection. La cybersécurité des mobiles passe désormais par une vigilance dès l’achat, car le malware peut être livré avec l’appareil - comme le montre cette campagne malware Android firmware téléphone peu coûteux.

Mots-clés associés : fraude publicitaire mobile, proxy résidentiel, infection firmware Android, smartphones low-cost, sécurité des terminaux 2026, chaîne d’approvisionnement compromise.