Midnight Mimosa: Malware steckt ab Werk in günstigen Android-Handys

Anwenderberichte auf Entwicklerplattformen wie XDA verdeutlichen das Ausmaß einer tief im Betriebssystem verankerten Bedrohung: Verdächtige Anwendungen tauchen auf betroffenen Geräten selbst nach einer manuellen Löschung wieder auf.

Beim Modell Doogee Fire 3 Max zeigte sich die Schadsoftware nach einem offiziellen Firmware-Update und ließ sich erst durch das Zurücksetzen auf eine frühere Softwareversion beheben. Hinter den Vorfällen steht die Schadsoftware "Midnight Mimosa", die Sicherheitsforscher des Unternehmens Bitdefender in der Firmware tausender preiswerter Android-Smartphones entdeckt haben.

Globale Verbreitung auf Geräten mit MediaTek-Chips

Laut einem Bericht, den Bitdefender am 8. Oktober 2026 veröffentlichte, erstreckt sich die Kampagne über mehr als 150 Länder. Die Malware wird seit mindestens zwei Jahren beobachtet, wobei die Aktivitäten über rund zwei Jahre hinweg nachverfolgt wurden. Zu den am stärksten betroffenen Ländern gehören Mexiko, Frankreich und Italien, gefolgt von den USA, Deutschland, Brasilien und Spanien.

Untersuchungen der Sicherheitsforscher ergaben, dass ausnahmslos alle identifizierten infizierten Geräte mit Prozessoren von MediaTek ausgestattet sind, wenngleich nicht jedes günstige Modell mit diesen Chips automatisch betroffen ist.

Besonders häufig tritt die Infektion bei bestimmten Gerätemodellen auf: Das Cubot KINGKONG X macht über 11 % der erfassten Fälle aus, während auf das Doogee S200 X über 4 % entfallen.

Angesichts der Gefahr durch tief im System verankerte Schadsoftware ist ein proaktiver Schutz des eigenen Geräts unerlässlich. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-Smartphone sofort besser absichern können. 5 Schutzmaßnahmen jetzt entdecken

Neben regulären Budget-Modellen fand sich die Schadsoftware zudem auf gefälschten Geräten, die optisch Modellen wie dem Samsung S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra oder SM-S938B nachempfunden sind. Betroffen sind auch Fälschungen unter Bezeichnungen wie i17 Pro Max, i16_Pro_Max und 17_Pro_Max im Stil von Apple-Geräten sowie Nachbauten wie das Honor Magic 15 MAX.

Systemrechte und Umgehung von Google-Scannern

Die Bedrohung operiert über spezifische Schadpakete mit den Bezeichnungen com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot und com.android.sys.bcprot. Um Entdeckungen durch Google-Play-Scanner zu verhindern, nistet sich die Malware direkt in der System-Partition ein und setzt auf plattform-signierte Zertifikate.

Nach Erkenntnissen von Bitdefender wurde die Firmware mit Zertifikaten des chinesischen Unternehmens Shenzhen Zediel signiert. Zudem deaktiviert die Schadsoftware zeitweilig den Google Play Store, um Sicherheitsprüfungen über Google Play Protect zu unterbinden.

Durch die weitreichenden Systemrechte können Hintermänner aus der Ferne Programmcode ausführen, beliebige Anwendungen installieren oder löschen und Berechtigungen eigenständig vergeben. Die gekaperten Geräte lassen sich als sogenannte Residential-Proxys missbrauchen oder für verteilte Überlastungsangriffe (DDoS) einspannen. Ein Schwerpunkt der Angreifer liegt auf automatisiertem Werbebetrug über unsichtbare Browserfenster und simulierte Klicks.

Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte regelmäßige Software-Prüfungen nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates und Einstellungen Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Sicherheits-Report herunterladen

Eingriff in die Lieferkette erschwert Bereinigung

Im Rahmen der Kampagne werden mindestens 32 verschiedene Schad-Apps verteilt, darunter vermeintliche Wetterdienste, Dateimanager, Texterkennungsprogramme und Werkzeuge zur Audiobearbeitung. Während 13 dieser Anwendungen auch im regulären Google Play Store gelistet waren und denselben Kontrollserver nutzen, fehlen ihnen dort die tiefgreifenden Systemprivilegien der vorinstallierten Variante.

Ein herkömmliches Zurücksetzen auf die Werkseinstellungen reicht nicht aus, um die Schadsoftware loszuwerden, da sie fest in der System-Partition verankert bleibt. Eine Bereinigung erfordert laut Bitdefender eine vollständige Neuinstallation einer sauberen Firmware durch den Hersteller oder gezielte Eingriffe über die Android Debug Bridge (ADB).

Die Forscher vermuten eine Kompromittierung innerhalb der Lieferkette als Ursache für die ab Werk infizierten Geräte; welcher Akteur dafür verantwortlich ist und auf welcher Stufe die Manipulation erfolgte, bleibt ungeklärt.