Badacze z Bitdefendera odkryli kampanię Midnight Mimosa, która infekuje tanie smartfony z procesorami MediaTek już na etapie produkcji. Złośliwe oprogramowanie jest zaszyte bezpośrednio w firmware, co sprawia, że urządzenia są zainfekowane przed pierwszym uruchomieniem przez użytkownika.
Malware działa na poziomie systemowym, podszywając się pod komponenty Androida, takie jak pakiety com.android.system.lite czy com.android.sys.prot. Dzięki wysokim uprawnieniom może samodzielnie zarządzać aplikacjami, a nawet tymczasowo wyłączać Sklep Google Play, aby uniknąć wykrycia przez mechanizm Play Protect.
Głównym celem ataku jest generowanie fałszywych kliknięć w reklamy oraz tworzenie botnetów wykorzystujących telefony jako serwery pośredniczące. Zagrożenie dotyczy głównie mało znanych marek oraz podróbek popularnych modeli, w tym fałszywych wersji Samsung Galaxy S24/S25/S26 Ultra.
Ze względu na obecność w firmware, standardowe przywracanie ustawień fabrycznych może nie przynieść rezultatu. W przypadku podejrzenia infekcji zaleca się unikanie bankowości mobilnej na takim urządzeniu, a w ostateczności jego wymianę lub próbę instalacji czystego oprogramowania producenta.
