Midnight Mimosa : malware préinstallé sur Android low-cost

Midnight Mimosa : l'appareil était déjà compromis avant d'être sorti de sa boîte

Les chercheurs en sécurité de Bitdefender Labs ont publié en octobre 2026 le résultat d'une investigation approfondie sur une campagne de malware d'une ampleur inédite : Midnight Mimosa. Ce malware, contrairement à la grande majorité des menaces Android connues, n'est pas distribué via des applications malveillantes sur le Play Store ou des APK téléchargés depuis des sources tierces. Il est directement intégré dans le firmware des appareils lors de la phase de fabrication, ce qui signifie que l'utilisateur final reçoit un téléphone déjà compromis avant même de le mettre sous tension pour la première fois.

La campagne cible spécifiquement les smartphones Android d'entrée de gamme construits sur des plateformes SoC MediaTek — le fournisseur dominant sur le marché des téléphones low-cost en Asie, en Afrique et en Amérique latine. Bitdefender a identifié des milliers d'appareils infectés dans plus de 150 pays, avec les concentrations les plus importantes au Mexique, en France et en Italie, suivis des États-Unis, de l'Allemagne, du Brésil et de l'Espagne. Des activités significatives ont également été détectées en Afrique subsaharienne, en Asie du Sud-Est et au Moyen-Orient. La présence notable en France et en Italie, deux pays de l'Union Européenne, soulève des questions réglementaires importantes au regard du RGPD.

Techniquement, le coeur de Midnight Mimosa est une application système nommée com.android.system.lite, avec des variantes observées sous les noms com.android.sys.prot et com.android.sys.gmsprot. Ces noms sont délibérément choisis pour imiter des composants système légitimes d'Android — la confusion avec des processus système réels est intentionnelle pour compliquer la détection. Le détail technique le plus critique est que cette application est signée avec la clé de signature plateforme (platform signing key) de l'appareil, ce qui lui confère le niveau de confiance maximal dans le modèle de sécurité Android. Android traite littéralement ce malware comme s'il faisait partie du système d'exploitation lui-même.

Cette signature plateforme a des conséquences pratiques considérables pour la suppression du malware. Contrairement à une application malveillante ordinaire que l'utilisateur peut désinstaller depuis les paramètres, Midnight Mimosa ne peut pas être retiré par les moyens standards. Même un reset usine (factory reset) ne suffit pas dans tous les cas, car le malware est ancré dans la partition système de l'appareil. La seule solution définitive est le reflashage complet du firmware avec une image officielle propre — une opération technique hors de portée de la grande majorité des utilisateurs grand public et qui nécessite souvent l'intervention d'un technicien spécialisé.

Bitdefender a documenté trois vecteurs d'utilisation malveillante distincts. Le premier est la fraude publicitaire et au clic : le malware peut installer silencieusement des applications, s'octroyer des permissions système, et simuler des interactions avec des publicités pour générer des revenus frauduleux. Pour ce faire, il désactive temporairement le Google Play Store pendant l'installation de ses charges utiles, puis le réactive — une technique conçue pour éviter la détection par les mécanismes de sécurité de Play Protect. Puisque le Play Store revient à la normale après l'opération, l'utilisateur n'a aucune raison de suspecter qu'une activité malveillante a eu lieu en arrière-plan.

Le deuxième vecteur est la collecte de données personnelles. Le malware peut accéder à un large spectre d'informations sensibles stockées sur l'appareil : contacts, messages SMS, historique de navigation, données de localisation, identifiants de comptes connectés. Cette collecte s'effectue en arrière-plan, sans aucune notification visible à l'utilisateur. Les données sont exfiltrées vers des serveurs de commande et contrôle (C2) dont la localisation n'a pas encore été entièrement cartographiée dans le rapport public de Bitdefender, mais dont l'architecture suggère une infrastructure distribuée et résistante aux opérations de takedown.

Le troisième vecteur — et peut-être le plus insidieux dans ses implications à grande échelle — est le recrutement des appareils comme nœuds dans un réseau de proxies résidentiels. En faisant transiter le trafic Internet de tiers via les connexions mobiles des appareils infectés, les opérateurs de Midnight Mimosa peuvent louer cette capacité de proxy à des cybercriminels, des spammeurs ou des acteurs cherchant à anonymiser leurs activités malveillantes derrière des adresses IP d'utilisateurs légitimes. Ce type de réseau proxy résidentiel est particulièrement précieux car les adresses IP résidentielles sont rarement bloquées par les systèmes de défense contrairement aux IP de datacenters commerciaux.

L'investigation de Bitdefender s'étend sur une période d'environ deux ans, ce qui indique que Midnight Mimosa n'est pas une campagne opportuniste récente mais une opération durable et bien établie. Le fait qu'elle n'ait pas été détectée plus tôt à grande échelle par les solutions de sécurité mobiles existantes témoigne de la sophistication de la technique d'implantation et de la discrétion opérationnelle de ses auteurs. L'attribution de la campagne n'a pas encore été rendue publique par Bitdefender, mais les chercheurs ont indiqué que des éléments techniques suggèrent une organisation disposant d'accès à des acteurs de la chaîne de fabrication ou de distribution des appareils ciblés — fabricants ODM, distributeurs régionaux ou intermédiaires dans la chaîne logistique.

Un problème structurel dans la chaîne de fabrication Android

Midnight Mimosa s'inscrit dans une longue lignée de campagnes de malware Android préinstallé. Le malware Triada, découvert en 2016 dans le firmware d'appareils Android bon marché, avait déjà utilisé des techniques similaires de persistance via la signature plateforme. RottenSys (2018) avait infecté des millions d'appareils en se cachant dans des processus Wi-Fi système. xHelper (2019-2020) résistait aux réinitialisations usine. Ces précédents illustrent un problème structurel profond : le marché des smartphones low-cost repose sur une chaîne de fabrication fragmentée — fabricants de SoC, ODM (Original Design Manufacturers), distributeurs locaux — où les mécanismes de vérification et de sécurité des images firmware sont souvent insuffisants, voire inexistants. La pression sur les marges dans ce segment de marché crée des incitations perverses à réduire les coûts de sécurité lors de la fabrication.

Pour les entreprises, Midnight Mimosa représente un risque réel et souvent sous-estimé. De nombreuses organisations distribuent des smartphones low-cost à leurs employés terrain — agents commerciaux, techniciens, livreurs — pour des raisons de coûts. Si ces appareils sont compromis au niveau firmware, l'entreprise se retrouve avec des terminaux connectés à son réseau Wi-Fi d'entreprise, à ses applications métier et potentiellement à ses systèmes MDM (Mobile Device Management), que le malware peut exploiter comme point d'entrée initial. Les solutions MDM classiques ne détectent pas les applications système signées avec la clé plateforme, car elles les considèrent comme des composants légitimes du système d'exploitation.

D'un point de vue réglementaire, la présence de Midnight Mimosa sur des appareils vendus en France et en Italie est une violation potentielle du RGPD. Le traitement de données personnelles des utilisateurs sans consentement explicite, opéré via un malware préinstallé à leur insu, constitue une infraction aux articles 5, 6 et 7 du RGPD. Les autorités de protection des données — CNIL en France, Garante Privacy en Italie — pourraient être amenées à enquêter sur les distributeurs et importateurs de ces appareils, qui ont mis sur le marché des produits contenant des composants malveillants, même s'ils n'en avaient pas connaissance. La Cyber Resilience Act (CRA) européenne, dont l'entrée en vigueur est prévue en 2027, imposera précisément aux fabricants de démontrer la sécurité de leurs produits connectés — Midnight Mimosa illustre l'urgence de ces nouvelles exigences.

Pour les consommateurs et les entreprises, la leçon principale est de s'interroger systématiquement sur la provenance et la réputation des appareils Android achetés, en particulier pour les modèles très bon marché de marques peu connues. Des programmes de certification de sécurité comme Android Enterprise Recommended de Google imposent des standards de sécurité firmware aux fabricants qui y adhèrent — privilégier des appareils certifiés dans ce programme est une première ligne de défense. Pour les appareils existants, des outils de sécurité mobiles peuvent détecter les comportements anormaux de Midnight Mimosa via leurs signatures comportementales, même s'ils ne peuvent pas le supprimer directement. En entreprise, un outil MDM couplé à un EDR mobile constitue la solution recommandée pour détecter et isoler les terminaux compromis.

Ce qu'il faut retenir

• Midnight Mimosa est un malware préinstallé en usine dans le firmware d'appareils Android low-cost, signé avec la clé système — indétectable et impossible à supprimer par les moyens normaux, actif dans 150+ pays depuis environ deux ans.
• Trois utilisations malveillantes confirmées : fraude publicitaire, collecte de données personnelles et enrôlement dans un botnet de proxies résidentiels — avec des implications RGPD directes pour les appareils vendus en Europe.
• Entreprises : auditer les appareils Android déployés auprès des collaborateurs, éviter les smartphones low-cost de marques non certifiées Android Enterprise Recommended, et déployer des solutions EDR mobile capables de détecter les comportements anormaux des applications système.