LONDON (IT BOLTWISE) – Sicherheitsexperten warnen vor vorinstallierter Malware auf preiswerten Android-Smartphones, bei der der Schadcode in der Firmware steckt. Betroffene können die Infektion laut den Forschern oft nicht selbst sauber entfernen, weil die Software als Systemanwendung mit hohen Rechten läuft. Die Kampagne „Midnight Mimosa“ erlaubt es Angreifern, unbemerkt Apps zu installieren, Werbebetrug zu betreiben und Geräte in private Proxys zu verwandeln. Für Nutzer bleibt vor allem der Weg über Firmware-Bereinigung oder eine technisch anspruchsvolle Deaktivierung per ADB.
Die aktuelle Warnung trifft vor allem Menschen, die ein Android-Smartphone vor allem nach Preis und Verfügbarkeit auswählen. Laut Bitdefender wurden mehrere preiswerte Android-Modelle entdeckt, die nicht erst nach dem Kauf infiziert wurden, sondern bereits mit vorinstallierter Schadsoftware ausgeliefert kommen. Der entscheidende Punkt ist dabei nicht nur die Präsenz von Malware auf dem Gerät, sondern ihr Einbau in die Firmware: Dadurch startet der Schadcode mit privilegierten Berechtigungen und bleibt auch nach üblichen Deinstallationsversuchen aktiv. Das macht die Lage besonders hart für Nutzer, weil sie typischerweise genau die Maßnahmen ergreifen, die bei klassischen App-Infektionen helfen würden.
Die Forscher bezeichnen die Angriffswelle als „Midnight Mimosa“. Weil die Malware Rechte auf Systemebene hat, können Angreifer dem Gerät unbemerkt zusätzliche Apps nachladen, Werbebetrug auslösen und die Smartphones in private Proxys umfunktionieren. Bitdefender nennt dabei rund 32 Anwendungen, die über ein übergreifendes Framework verbreitet wurden und sich in der Darstellung als harmlose Tools tarnen. Dazu gehören unter anderem vermeintliche Wetter-Apps, Dateimanager, App-Sperren, OCR-Tools sowie Audio-Editoren. Technisch ist das Muster typisch für Kampagnen, die nicht nur einen einzelnen bösartigen Installer ausnutzen, sondern das Installations- und Persistenzproblem über mehrere scheinbar unterschiedliche Funktionspakete lösen.
Bemerkenswert ist zudem, dass die Verantwortlichen die Schadkomponenten auch ohne direkten Benutzereingriff nachladen können. In der Praxis bedeutet das: Auch wenn ein Nutzer keine verdächtige App manuell installiert und keine ungewöhnliche Interaktion ausführt, kann der Angriff über die laufende Systemkomponente dennoch Code aus der Ferne nachladen. Für die Zuordnung der Lieferkette ist Bitdefender außerdem explizit: Die Sicherheitsforscher fanden Firmware, die mit Zertifikaten signiert war, die dem chinesischen Gerätehersteller Shenzhen Zediel zugeordnet sind. Gleichzeitig betont Bitdefender: „Diese technische Zuordnung stellt keinen Beweis dafür dar, dass Shenzhen Zediel die Malware verfasst oder verbreitet hat oder davon Kenntnis hatte.“ Damit bleibt die Frage nach dem tatsächlichen Einspeisepunkt offen, aber der Mechanismus macht deutlich, wo Angriffsflächen typischerweise entstehen: in der Prozesskette vor dem Geräte-„Flashen“ durch den Endnutzer.
Nach Angaben der Forscher betraf die Kampagne über einen Zeitraum von etwa zwei Jahren Tausende Geräte in mehr als 150 Ländern. Die Verteilung der betroffenen Nutzer wird dabei unter anderem für Mexiko, Frankreich, Italien, die Vereinigten Staaten, Deutschland, Brasilien und Spanien hervorgehoben. Bitdefender ordnet die betroffenen Geräte zudem nicht nur über einzelne Modellbezeichnungen ein: In den Berichten finden sich Firmware-Varianten auch auf Geräten, die unter Bezeichnungen seriöser Marken vermarktet wurden. In der Quellenlage tauchen außerdem konkret genannte Modelle auf, etwa das Doogee S200 X und das Cubot KINGKONG X. Das passt zu einem Trend, bei dem gerade günstige Geräte mit MediaTek-Chipsätzen für solche Firmware-basierte Angriffe anfällig sind, weil Baugruppen, Anpassungszyklen und Signaturprozesse stärker fragmentiert sind als bei Top-Modellen.
Was für Endnutzer daraus folgt, zeigen Rückmeldungen: Betroffene von Cubot- und Doogee-Smartphones berichten, dass sie verdächtige Anwendungen entdeckt haben, die sich nach einer Deinstallation wieder selbst neu installieren. Besonders deutlich wird das in Fällen, in denen ein offizielles Firmware-Update zunächst Abhilfe versprach, die Infektion aber nach der Installation erneut auftrat. Ein Nutzer eines Doogee Fire 3 Max schilderte, dass ein Update das Problem zunächst behoben habe, die Malware jedoch bei erneuter Installation des Updates wieder erschien, obwohl sie nach einer Wiederherstellung einer älteren Firmware-Version verschwunden war. Solche Muster deuten weniger auf einen einzelnen schadhaften App-Pack hin und mehr auf einen persistierenden Mechanismus in der Firmware oder auf einen wiederholten Import der problematischen Komponente durch den Update-Prozess.
Für die praktische Entfernung nennt Bitdefender zwei Wege, die im Alltag unterschiedlich gut funktionieren. Da die Malware als Systemanwendung mit hohen Berechtigungen installiert ist, können Nutzer laut den Forschern die Infektion typischerweise nicht einfach per „App löschen“ beenden. Eine Bereinigung auf Firmware-Ebene oder die Deaktivierung der schädlichen Komponente mithilfe der Android Debug Bridge (ADB) wird als Vorgehen beschrieben; gerade Letzteres ist jedoch für viele Anwender komplex, weil es ein funktionierendes Debugging-Setup und technisches Vorgehen auf dem Gerät erfordert. Damit verschiebt sich die Risikobewertung: Sicherheitsprobleme dieser Art sind weniger ein kurzfristiges „Update-Problem“ und stärker ein Prozessproblem in der Gerätemontage und -signierung. Für Unternehmen, die Geräte beschaffen oder Flotten verwalten, heißt das: Neben der App-Ebene muss auch die Firmware-Transparenz und das Updateverhalten der Hersteller in die Sicherheitsprüfung einfließen.
Auch wenn die genaue Einspeisungsstelle in der Lieferkette noch unbekannt ist, lässt sich aus der beschriebenen Funktionsweise ableiten, warum die Kampagne so wirkungsvoll sein kann. Malware, die erst nach dem Geräte-Setup über Systemrechte bleibt, verhindert saubere „Selbstheilung“ durch Deinstallation. Gleichzeitig erhöht die Tarnung als unterschiedliche Nutz-Apps die Chance, dass einzelne Komponenten im Alltag unauffällig wirken. Für den Markt unterstreicht das den Bedarf an härteren Lieferkettenabsicherungen rund um Signaturen, Build-Prozesse und Firmware-Integrität, denn genau diese Punkte entscheiden darüber, ob ein Gerät bereits beim ersten Start ein dauerhaftes Risiko mitbringt. Nutzer sollten daher nicht nur auf App-Updates achten, sondern im Zweifel bei auffälligen Wiederinstallationsmustern konsequent prüfen, ob eine Firmware-basierte Persistenz vorliegt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Midnight Mimosa: Malware ist in Android-Firmware eingebettet – auch in Deutschland" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Midnight Mimosa: Malware ist in Android-Firmware eingebettet – auch in Deutschland" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Midnight Mimosa: Malware ist in Android-Firmware eingebettet – auch in Deutschland« bei Google Deutschland suchen, bei Bing oder Google News!