Midnight Mimosa : des smartphones Android bon marché infectés par un malware proxy résidentiel

En octobre 2026, les chercheurs de Bitdefender ont mis au jour une campagne malveillante d’ampleur baptisée Midnight Mimosa. Plus de 150 pays sont touchés, dont la France, et des milliers de smartphones Android low-cost sont infectés dès leur sortie d’usine. Le malware proxy résidentiel est directement intégré dans le firmware, transformant chaque appareil en relais de trafic à l’insu de son propriétaire. Découvrez comment cette menace fonctionne, quels appareils sont concernés et comment vous protéger.

Midnight Mimosa : un malware proxy résidentiel préinstallé sur les smartphones Android bon marché

La campagne Midnight Mimosa a été détectée pour la première fois grâce à la technologie App Anomaly Detection de Bitdefender. Les chercheurs ont identifié une application système suspecte, com.android.system.lite, qui installait et supprimait d’autres applications en silence. Cette application système, signée avec des privilèges élevés, fait partie d’une infrastructure malveillante plus large capable de télécharger des modules supplémentaires depuis des serveurs de commande et de contrôle (C2).

Selon Bitdefender, la campagne a affecté des milliers d’appareils dans plus de 150 pays pendant environ deux ans. Les pays les plus touchés sont le Mexique, la France, l’Italie, les États-Unis, l’Allemagne, le Brésil et l’Espagne. En France, de nombreux utilisateurs de smartphones Android d’entrée de gamme ignorent que leur terminal est compromis, les symptômes étant discrets.

« L’application système elle-même n’enregistre pas les impressions et clics frauduleux. Le revenu est généré par les applications de couverture déposées, y compris de véritables applications météo, de blocage de notes, de reconnaissance optique, qui chargent de vraies publicités via un SDK publicitaire légitime. L’objectif est simple : charger une fenêtre invisible au-dessus des applications qui enregistre les publicités affichées. » - Bitdefender

Cette citation illustre bien le caractère furtif du malware : l’utilisateur ne constate aucun ralentissement ni comportement anormal, tandis que les applications légitimes génèrent des revenus publicitaires frauduleux.

Comment le malware s’infiltre dans la chaîne d’approvisionnement

L’un des aspects les plus préoccupants de Midnight Mimosa est son mode de contamination. Contrairement aux malwares classiques qui nécessitent l’installation d’une application vérolée, le code malveillant est intégré au firmware dès la fabrication. Les smartphones concernés, équipés de processeurs MediaTek, embarquent le malware dans la partition système.

Il reste flou à ce jour à quel niveau de la chaîne d’approvisionnement l’altération a eu lieu. Plusieurs hypothèses sont envisagées :

• Compromission d’un fournisseur de firmware chez le fabricant de composants (MediaTek) ;
• Interception des mises à jour officielles par un acteur malveillant ;
• Infiltration dans les ateliers d’assemblage des téléphones low-cost.

Des utilisateurs sur le forum XDA ont rapporté que même une mise à jour officielle du fabricant Doogee avait réinfecté leur terminal. Un propriétaire de Doogee Fire 3 Max a constaté que l’infection disparaissait après un retour à une version antérieure du firmware, puis réapparaissait dès la mise à jour réinstallée.

Les modèles identifiés incluent :

• Doogee S200 X
• Cubot KINGKONG X
• Doogee Fire 3 Max
• Des contrefaçons de Samsung et Apple

Certains fabricants ont fini par publier des correctifs, mais aucun n’a expliqué publiquement comment la compromission a eu lieu. Cette opacité renforce l’inquiétude quant à la sécurisation de la chaîne d’approvisionnement mobile.

Les mécanismes techniques du malware

Installation silencieuse et privilèges système

Midnight Mimosa utilise des noms de paquets imitant des composants Android légitimes : com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot. Ces applications sont signées et résident dans la partition système, ce qui leur confère des privilèges équivalents à ceux du noyau. De ce fait, elles peuvent installer ou supprimer n’importe quelle application, accorder des permissions sensibles et exécuter du code téléchargé à distance, le tout sans aucune interaction de l’utilisateur.

L’utilisateur ne peut pas désinstaller ces composants via le gestionnaire d’applications standard. Toute tentative de suppression manuelle échoue, et le malware se réinstalle automatiquement, même après une réinitialisation d’usine si le firmware n’est pas purgé.

Fraude publicitaire et proxy résidentiel

Le but principal de la campagne est double : générer des revenus par fraude publicitaire et utiliser les appareils comme proxy résidentiel.

D’une part, le malware dépose environ 32 applications de couverture (météo, gestionnaire de fichiers, bloc-notes, OCR, éditeur audio) qui affichent des publicités dans des fenêtres invisibles. Ces publicités sont chargées via un SDK légitime, ce qui rend la fraude difficile à détecter par les annonceurs. Les impressions et clics frauduleux sont enregistrés à l’insu du propriétaire du téléphone.

D’autre part, une application déguisée en app locker (com.mobile.applock.en) intègre un composant proxy TCP. Dès que le téléphone est infecté, il s’enregistre sur un serveur C2. Les attaquants peuvent alors lui ordonner de relayer le trafic réseau vers des cibles spécifiques, masquant ainsi l’origine réelle des attaques. Bitdefender a confirmé que l’infrastructure de commande était toujours opérationnelle au moment de ses tests.

Évasion des protections Android

Pour éviter d’être repéré, le malware met en œuvre plusieurs techniques d’évasion :

• Désactivation temporaire du Google Play Store (processus com.android.vending) avant d’installer silencieusement d’autres applications. Une fois l’installation terminée, le Play Store est réactivé pour ne pas éveiller les soupçons.
• Manipulation des enregistrements d’installation : le malware altère les logs Android pour faire croire que les applications malveillantes ont été installées via le Google Play Store, alors qu’elles ont été déployées par le framework.

Ces astuces compliquent le travail des solutions de sécurité et des utilisateurs qui inspecteraient manuellement les applications installées.

Impact sur les utilisateurs et indicateurs d’infection

Quels appareils sont concernés ?

Les téléphones visés sont principalement des modèles low-cost vendus sur des places de marché en ligne (Amazon, AliExpress, etc.). Les marques identifiées incluent Doogee et Cubot, mais des contrefaçons de Samsung et Apple sont également touchées. En France, les acheteurs de smartphones à moins de 100 € doivent être particulièrement vigilants.

Ces noms peuvent varier ; le malware en compterait une trentaine.

Comment détecter la présence du malware ?

Les signes d’infection sont souvent discrets, mais certains indicateurs peuvent alerter :

• Consommation anormale de données mobiles due au relais de trafic ou aux téléchargements fréquents de modules.
• Réapparition d’applications après désinstallation manuelle.
• Impossibilité de désinstaller certains paquets système via les paramètres.
• Augmentation des publicités même lorsque le téléphone est en veille.

Pour une vérification avancée, les utilisateurs avertis peuvent utiliser l’Android Debug Bridge (ADB) :

adb shell
ls /system/app/

En listant le contenu du dossier /system/app/, il est possible de repérer des noms suspects comme ceux mentionnés plus haut. Notez que cette opération nécessite d’activer le mode développeur et de brancher le téléphone à un ordinateur. Elle n’est pas recommandée aux novices.

Comment se protéger et supprimer le malware ?

La suppression de Midnight Mimosa est complexe car le malware est intégré au firmware. Voici les mesures recommandées :

1. Vérifier les mises à jour du fabricant : Certains modèles (Doogee, Cubot) ont publié des correctifs. Installez-les uniquement depuis le site officiel du constructeur.
2. Restaurer une version antérieure du firmware : Si un correctif semble fiable et que vous avez accès à un fichier firmware non compromis (archive de confiance), tentez une restauration via l’outil de mise à jour du fabricant.
3. Utiliser ADB pour désactiver les composants : Les utilisateurs expérimentés peuvent exécuter des commandes pour désactiver les applications malveillantes. Par exemple :

adb shell
pm disable com.android.system.lite

⚠️ Cette méthode n’est pas définitive : une mise à jour du firmware ou une réinitialisation peut réactiver le malware. 4. Contacter le vendeur ou le fabricant pour un échange ou un remboursement si le téléphone est toujours sous garantie. 5. En dernier recours, remplacer l’appareil par un modèle de marque reconnue, acheté auprès d’un canal officiel.

L’ANSSI recommande par ailleurs de n’acheter des smartphones que via des revendeurs agréés et de maintenir le système d’exploitation à jour. Ces bonnes pratiques limitent les risques liés à la chaîne d’approvisionnement.

Leçons pour la sécurité mobile en 2025

La campagne Midnight Mimosa met en lumière une vulnérabilité structurelle : la confiance aveugle dans le firmware des appareils. Alors que les smartphones low-cost séduisent par leur prix, leur sécurité est souvent sacrifiée. Les consommateurs doivent prendre conscience que le coût réduit peut cacher des compromissions dès la sortie d’usine.

Pour les professionnels de la cybersécurité, cette affaire rappelle l’importance de :

• Auditer les firmwares des terminaux mobiles, notamment ceux utilisés en BYOD ;
• Utiliser des solutions de détection d’anomalies (comme celle de Bitdefender) capables d’identifier des comportements suspects même au niveau système ;
• Renforcer la collaboration internationale pour tracer l’origine des altérations dans la chaîne d’approvisionnement.

En France, le RGPD et les recommandations de l’ANSSI offrent un cadre, mais ils ne peuvent protéger contre des compromissions en amont. La responsabilité des fabricants et des plateformes de vente est engagée.

Conclusion : restez vigilant face aux malwares préinstallés

Le malware Midnight Mimosa montre que les smartphones Android bon marché peuvent cacher un proxy résidentiel dédié à la fraude publicitaire et au relais d’attaques. En octobre 2026, des milliers d’appareils sont encore infectés en France. Si vous possédez un modèle low-cost, vérifiez les signes d’infection et appliquez les correctifs disponibles. Adoptez des réflexes d’achat sécurisés : privilégiez les revendeurs officiels et les marques reconnues. La sécurité mobile passe aussi par une vigilance sur la chaîne d’approvisionnement.