Campagne Midnight Mimosa : le malware préinstallé qui transforme les smartphones Android bon marché en proxies pirates

Imaginez que le smartphone que vous venez de déballer contienne déjà un logiciel malveillant aux commandes. C’est le scénario vécu par des milliers d’utilisateurs dans plus de 150 pays, dont la France, touchés par une campagne surnommée Midnight Mimosa. Découverte en octobre 2026 par Bitdefender, cette menace est directement intégrée au firmware d’appareils Android économiques équipés de processeurs MediaTek. Non content de générer de la fraude publicitaire en arrière-plan, le malware transforme votre connexion Internet en proxy résidentiel au service de pirates. Ce guide vous présente le fonctionnement de cette campagne, les modèles concernés et les mesures que vous pouvez prendre pour vous protéger.

Qu’est-ce que le malware Midnight Mimosa ?

Midnight Mimosa est un framework malveillant préinstallé dans la partition système de certains smartphones Android. Il se présente sous la forme d’applications aux noms qui imitent des services système légitimes, comme com.android.system.lite, com.android.sys.prot ou com.android.sys.gmsprot. Signées avec des certificats et exécutées avec des privilèges élevés, ces applications ne peuvent pas être supprimées via l’interface normale de désinstallation d’Android. Leur rôle principal est de télécharger et d’installer silencieusement d’autres modules depuis des serveurs de commande et de contrôle (C2). Les chercheurs de Bitdefender ont ainsi identifié 32 applications différentes distribuées par ce framework, déguisées en utilitaires météo, gestionnaires de fichiers, verrous d’applications, outils OCR ou éditeurs audio.

« Le système lui-même n’enregistre pas les impressions frauduleuses et les clics. Le moteur de revenus est piloté par les applications de couverture, qui chargent des publicités légitimes via un SDK publicitaire. L’objectif est simple : afficher une fenêtre invisible sur les applications qui enregistre les publicités comme étant vues. » - Bitdefender

Pour éviter la détection, le malware désactive temporairement l’application Google Play Store (com.android.vending) avant d’installer ses composants. Une fois l’installation terminée, il la réactive pour ne pas éveiller les soupçons. Dans certains cas, il modifie également les enregistrements internes pour faire croire que les applications malveillantes proviennent du Play Store.

Comment le malware infiltre-t-il le firmware ?

La contamination se produit probablement au sein de la chaîne d’approvisionnement, mais le point d’insertion exact reste flou. Les chercheurs ont retrouvé des firmwares signés avec des certificats appartenant au fabricant chinois Shenzhen Zediel, sans qu’il soit établi que l’entreprise soit complice. Les modèles identifiés portent des noms de marques réelles ou imitent des produits connus.

Voici les appareils pour lesquels une infection a été confirmée ou signalée :

Les témoignages sur les forums XDA indiquent que certains utilisateurs ont vu des applications suspectes se réinstaller immédiatement après leur suppression. Un propriétaire de Doogee Fire 3 Max a constaté que le malware réapparaissait après avoir installé une mise à jour officielle du firmware ; le retour à une version antérieure le faisait disparaître, mais la réinstallation de la mise à jour le ramenait. Les fabricants ont publié des correctifs sans expliquer publiquement comment le code malveillant s’est introduit.

Les capacités malveillantes : fraude publicitaire et proxy résidentiel

Fraude publicitaire invisible

Une fois votre téléphone infecté, Midnight Mimosa déploie des applications de couverture qui affichent des publicités dans des fenêtres invisibles ou génèrent des clics automatiques. Ces applications utilisent un kit de développement publicitaire (SDK) légitime, ce qui rend leur activité difficile à distinguer d’un trafic normal. Le but est de gonfler artificiellement les indicateurs publicitaires et de toucher des revenus au détriment des annonceurs. Selon Bitdefender, la campagne a fonctionné pendant environ deux ans avant d’être détectée, touchant des milliers d’appareils.

Proxy résidentiel : votre connexion détournée

La fonctionnalité la plus inquiétante est la transformation de votre smartphone en proxy résidentiel. L’application com.mobile.applock.en contient un composant TCP qui enregistre l’appareil sur un serveur distant. Les pirates peuvent ensuite envoyer des instructions pour relayer leur trafic via votre connexion Internet. Cela leur permet de masquer l’origine de leurs attaques ou d’accéder à des ressources protégées. Les chercheurs ont confirmé que l’infrastructure de commande et de contrôle était opérationnelle.

« Une fois enregistré, le malware peut recevoir des instructions pour se connecter à des hôtes spécifiques et transférer le trafic via l’appareil infecté. » - Bitdefender

Applications complices dans le Google Play Store

Bitdefender a également découvert 13 applications sur le Google Play Store qui contenaient le même code de fraude publicitaire et communiquaient avec les serveurs C2 de Midnight Mimosa. Distribuées via les comptes développeurs fivedev et CPS Developer, ces applications ne disposent pas des privilèges système du malware préinstallé, mais elles peuvent tout de même diffuser des publicités en arrière-plan, même lorsque vous n’utilisez pas votre téléphone. Leur présence dans la boutique officielle rappelle qu’une vigilance s’impose même lors du téléchargement d’applications depuis des sources apparemment sûres.

Comment détecter une infection et s’en protéger ?

Plusieurs indices peuvent vous alerter :

• Applications préinstallées aux noms génériques : cherchez dans la liste des applications système des noms comme System Lite, Sys Prot ou App Lock. Elles ne doivent pas pouvoir être désinstallées normalement.
• Réinstallation automatique : si vous supprimez une application suspecte et qu’elle réapparaît après un redémarrage, le firmware est probablement compromis.
• Consommation de données anormale : une activité de proxy ou de publicité invisible peut augmenter votre utilisation de la bande passante.
• Impossibilité de mettre à jour le Play Store : le malware peut bloquer temporairement l’application officielle.

Mesures de protection

1. Achetez auprès de revendeurs de confiance : privilégiez les canaux officiels et évitez les offres trop alléchantes sur des places de marché non vérifiées.
2. Vérifiez les mises à jour du firmware : consultez le site du fabricant pour savoir si un correctif a été publié. Certains utilisateurs de Cubot et Doogee ont résolu l’infection grâce à une mise à jour.
3. Utilisez ADB en dernier recours : si vous possédez des compétences techniques, vous pouvez désactiver manuellement le composant malveillant via Android Debug Bridge. Exemple de commande :

adb shell
su
pm uninstall -k --user 0 com.android.system.lite

Attention : cette méthode peut désactiver des fonctions système. Réalisez-la à vos risques et périls, et après avoir sauvegardé vos données.

4. Contactez le support du fabricant : exigez une explication et un firmware non infecté. Si le fabricant ne répond pas, changez d’appareil.

Conclusion : une menace qui exige une vigilance accrue

La campagne Midnight Mimosa illustre une évolution préoccupante du risque cyber : le malware n’a plus besoin d’être installé par l’utilisateur, il est déjà présent dans le matériel. La France étant l’un des pays les plus touchés, il est essentiel de rester informé et d’adopter des réflexes de vérification avant tout achat de smartphone économique. N’achetez pas un téléphone sans connaître sa traçabilité logicielle, et privilégiez les marques reconnues qui publient ouvertement leurs mises à jour de firmware. La lutte contre ce type de menace résidentielle passe par une prise de conscience collective : chaque utilisateur, chaque entreprise doit intégrer la sécurité dès la sélection du terminal. Restez sur vos gardes, car la prochaine mutation de Midnight Mimosa pourrait déjà être en circulation.