Malware Midnight Mimosa Disisipkan dalam Firmware Ponsel Android, Menjangkau Lebih dari 150 Negara

Ponsel telah disusupi sebelum pertama kali dinyalakan

Ribuan perangkat Android di lebih dari 150 negara terdampak Midnight Mimosa, sebuah kampanye malware yang menyisipkan perangkat lunak berbahaya ke dalam firmware ponsel sebelum pembeli menyalakan perangkat mereka. Bitdefender mengidentifikasi sedikitnya 32 aplikasi samaran yang disebarkan dalam operasi ini, serta 13 aplikasi Google Play yang memuat kode penipuan iklan yang sama dan berkomunikasi dengan infrastruktur pengendalinya.

Temuan yang diterbitkan pada 8 Oktober 2026 dan diperbarui pada 9 Oktober itu menguraikan operasi yang terpantau selama sekitar dua tahun. Perangkat yang terdampak mencakup ponsel murah berbasis MediaTek, produk palsu yang menggunakan nama model Apple dan Samsung, serta perangkat yang mengidentifikasi diri sebagai Doogee S200 X dan Cubot KINGKONG X.

Temuan utama dalam laporan teknis Bitdefender adalah bahwa infeksi ini tidak bergantung pada pembeli yang mengunduh aplikasi mencurigakan. Komponen sistem berbahaya sudah disertakan bersama perangkat, memiliki izin sistem operasi yang kuat, dan dapat memasang perangkat lunak tambahan tanpa meminta persetujuan pemiliknya.

Karena itu, ancaman ini sangat sulit dihapus. Menghapus aplikasi cuaca atau pengunci aplikasi yang tidak diinginkan mungkin menghilangkan salah satu bagian operasi yang terlihat, tetapi membiarkan komponen yang memasangnya tetap utuh. Peneliti mendapati muatan malware berulang kali muncul lalu menghilang pada perangkat yang sama.

Namun, ada batasan pada hal-hal yang berhasil dipastikan dalam penyelidikan ini. Peneliti tidak mengidentifikasi pihak yang menyisipkan malware ke dalam firmware. Mereka menemukan kode yang mampu meneruskan lalu lintas internet melalui ponsel yang terinfeksi, tetapi perangkat uji mereka tidak menerima instruksi untuk meneruskannya. Operator memiliki akses ke izin sensitif, meski peneliti tidak melihat izin tersebut digunakan selama analisis.

Komponen tersembunyi yang mengendalikan pemasangan aplikasi

Penyelidikan bermula ketika teknologi pendeteksi perilaku Bitdefender menandai com.android.system.lite. Nama dan label System yang generik membuatnya tampak seperti komponen Android biasa, tetapi perilakunya berbeda: komponen itu diam-diam memasang dan menghapus aplikasi lain yang tidak terkait serta berulang kali mengaktifkan akses sensitif.

Komponen tersebut tidak memiliki ikon aplikasi yang terlihat. Komponen itu ditandatangani untuk platform Android, berjalan sebagai pengguna sistem, dan dikonfigurasi agar tetap aktif. Izin yang dimilikinya mencakup pemasangan paket, penghapusan paket, pemberian izin kepada aplikasi lain, serta perubahan setelan aman. Kemampuan ini jauh melampaui izin yang biasanya dimiliki aplikasi yang diunduh oleh pemilik ponsel.

Peneliti kemudian menemukan inti malware yang sama dengan nama lain, termasuk com.android.sys.prot, com.android.sys.gmsprot, dan com.android.sys.bcprot. Paket lain yang dilaporkan pemilik ponsel, com.android.non.szcz, juga diidentifikasi sebagai bagian dari keluarga yang sama. Versi yang berbeda menggunakan nama berbeda dan, dalam beberapa kasus, sertifikat penandatanganan yang berbeda.

Hal ini penting untuk deteksi dan pembersihan: satu nama paket tidak mewakili seluruh ancaman. Ponsel yang tidak memiliki com.android.system.lite bisa saja tetap memuat versi lain dari perangkat lunak yang sama. Perilaku dan kode dasar yang sama merupakan penanda yang lebih berguna daripada label yang ditampilkan di daftar aplikasi Android.

Bagaimana kode jarak jauh mengubah perilaku ponsel

Sebagian besar logika berbahaya tersembunyi di dalam pustaka native bernama libeasy.so, bukan di kode biasa aplikasi sistem. Saat inisialisasi, pustaka tersebut menggunakan enkripsi RC4 untuk menyamarkan lalu memulihkan kerangka kerja tertanam berukuran sekitar 142 KB.

Kerangka kerja itu mengambil konfigurasi dari server perintah dan kendali, yakni layanan jarak jauh yang digunakan operator untuk mengarahkan perangkat terinfeksi. Kerangka tersebut dapat mengunduh dan memuat berkas DEX dan JAR, format yang digunakan untuk mengemas kode Android dan Java yang dapat dijalankan. Dengan demikian, operator dapat mengubah perilaku perangkat setelah dijual.

Peneliti mengidentifikasi tiga keluarga plugin. Salah satunya, yang terkait dengan com.wz.sdk.DxFactory, menangani tayangan dan klik iklan palsu. Dua lainnya, yang terkait dengan com.earnsdk.lib.DxFactory dan com.gogo.third.lib.DxFactory, mendukung pemasangan dan penghapusan aplikasi lain secara diam-diam; yang terakhir juga menyertakan fungsi WebView.

Dengan demikian, komponen sistem itu berfungsi sebagai pengendali persisten, bukan sekadar malware iklan tunggal dengan perilaku tetap. Menghapus muatan yang ada hari ini tidak akan mencegahnya mengambil muatan lain esok hari. Kemampuan memuat kode jarak jauh dan memberikan izin istimewa juga berarti potensi aktivitasnya lebih luas daripada perilaku yang terpantau selama penyelidikan.

Aplikasi samaran biasa mengubah klik palsu menjadi pendapatan

Tujuan utama operasi ini tampaknya adalah menghasilkan uang. Peneliti menemukan sedikitnya 32 aplikasi muatan berbeda yang menyamar sebagai utilitas cuaca, pengunci aplikasi, pengelola berkas, alat ikon, alat pengenalan teks, dan editor audio. Sebagian menawarkan fungsi tertentu, sedangkan yang lain tidak benar-benar menjalankan tugas yang tersirat dari namanya.

Salah satu contohnya, com.mobile.applock.wt, menyamar sebagai alat pengunci aplikasi, tetapi tidak memiliki antarmuka maupun kode yang diperlukan untuk menjalankan fungsi tersebut. Aplikasi ini disembunyikan dari pengguna dan berfungsi sebagai pengunduh malware lain, yaitu program yang mengirimkan perangkat lunak berbahaya tambahan. Muatan lain yang diidentifikasi mencakup com.dmstudio.weather, com.dl.guard.lock, dan picturetranslate.extractor.text.lite.

Aplikasi samaran tersebut membawa kit pengembangan perangkat lunak periklanan yang sah, atau SDK. SDK adalah alat yang memungkinkan aplikasi menampilkan iklan dan menerima pembayaran atas aktivitas periklanan. Kehadirannya memberi lalu lintas palsu itu identitas aplikasi dan iklan yang dapat digunakan untuk mengkreditkan pendapatan.

Peneliti keamanan Bitdefender Adrian Mihai Gozob dan Alex Baciu menjelaskan pembagian tugas antara komponen sistem persisten dan aplikasi samaran:

Aplikasi sistem itu sendiri tidak mencatat tayangan dan klik palsu.

Pengendali menyediakan instruksi, pengaturan waktu, dan interaksi buatan, sedangkan identitas iklan berasal dari aplikasi samaran. Aplikasi-aplikasi tersebut berkomunikasi melalui layanan bersama dan melaporkan identitas perangkat yang sama ke infrastruktur yang mencakup layanan kendali yang menyamar sebagai API cuaca. Hal ini menghubungkan utilitas yang tampak terpisah menjadi satu operasi periklanan terkoordinasi.

Analisis teknis menemukan klik otomatis tanpa sentuhan pengguna, sasaran iklan yang diacak, batas harian, dan jeda di antara interaksi buatan. Analisis itu juga mengidentifikasi pelaporan konversi otomatis setelah pengatur waktu 60 detik. Pengendalian tersebut dapat mengatur laju aktivitas palsu, alih-alih menghasilkan aliran kejadian identik tanpa henti.

Google Play menjadi sasaran pengelakan sekaligus jalur distribusi

Sebelum mengirimkan muatan, malware untuk sementara menonaktifkan com.android.vending, aplikasi Google Play Store. Aplikasi itu kemudian diaktifkan kembali, dan malware menyertakan mekanisme pengamanan untuk memulihkannya saat pengguna sedang menggunakan ponsel. Bitdefender menilai tindakan ini kemungkinan merupakan upaya menghindari deteksi Play Protect, bukan bukti bahwa setiap pemasangan lolos dari pemindaian.

Beberapa varian juga memanipulasi catatan pemasang Android sehingga perangkat lunak yang dipasang malware tampak berasal dari Google Play. Penyamaran ini dapat membuat aplikasi yang tidak dikenal tampak kurang mencurigakan saat pemiliknya memeriksa asal aplikasi tersebut.

Perangkat lunak periklanan itu memanfaatkan beberapa cara, termasuk membuka aktivitas tanpa diminta pengguna dan menampilkan lapisan di atas aplikasi lain. Salah satu tampilan iklan ditandai sebagai aman sehingga tidak dapat muncul dalam tangkapan layar atau rekaman layar. Laporan tersebut menguraikan aktivitas iklan tersembunyi maupun tampilan yang mengganggu, sehingga operasi ini tidak boleh dianggap sepenuhnya tak terlihat.

Google Play juga menjadi saluran distribusi tersendiri. Peneliti mengidentifikasi 13 aplikasi yang diterbitkan di sana, memuat kode penipuan iklan yang sama, dan berkomunikasi dengan infrastruktur Midnight Mimosa. Aplikasi-aplikasi itu menggunakan 13 sertifikat penandatanganan terpisah dan sedikitnya dua akun pengembang bernama fivedev dan CPS Developer.

Aplikasi di toko tersebut tidak memiliki izin istimewa yang dimiliki komponen sistem prainstal. Perbedaannya signifikan: mengunduh salah satu aplikasi itu tidak otomatis memberinya kemampuan memasang aplikasi secara diam-diam seperti yang dimiliki komponen firmware yang disusupi. Namun, aplikasi tersebut tetap dapat menampilkan iklan di luar antarmukanya sendiri, termasuk saat pemilik ponsel tidak sedang menggunakannya.

Setidaknya beberapa aplikasi terkait dilaporkan masih tersedia saat temuan ini diberitakan, dan Google belum segera menanggapi permintaan komentar. Tidak ada jadwal penghapusan yang telah dikonfirmasi. Temuan di Play Store menunjukkan bahwa paparan tidak terbatas pada perangkat keras palsu atau ponsel yang sudah disusupi sejak proses produksi.

Pendaftaran proxy terpantau, tetapi penerusan lalu lintas aktif tidak

Muatan lain, com.mobile.applock.en, memuat komponen proxy TCP. Proxy meneruskan lalu lintas internet atas nama pihak lain. Jika koneksi itu menggunakan ponsel milik pengguna biasa, lalu lintas tersebut dapat terlihat seolah-olah berasal dari alamat internet pemiliknya, bukan dari pihak yang sebenarnya mengendalikannya.

Komponen tersebut mendaftarkan perangkat ke server jarak jauh dan dapat menerima instruksi untuk terhubung ke tujuan tertentu serta meneruskan lalu lintas. Kemampuan seperti ini dapat mendukung jaringan perangkat yang dikendalikan dari jarak jauh, atau botnet, sekaligus menciptakan sumber pendapatan lain melalui penjualan akses ke koneksi tersebut.

Bitdefender mengonfirmasi bahwa infrastruktur proxy menerima pendaftaran perangkat uji mereka. Namun, perangkat itu tidak menerima tujuan penerusan selama pengujian. Dengan demikian, penyelidikan membuktikan pendaftaran dan kemampuan meneruskan lalu lintas, bukan bahwa penerusan aktif terjadi pada perangkat uji tersebut.

Kehati-hatian yang sama berlaku untuk serangan penolakan layanan terdistribusi, yang membanjiri sasaran dengan lalu lintas dari banyak perangkat. Peneliti menyebut partisipasi botnet dan serangan semacam itu sebagai potensi penggunaan. Temuan tersebut tidak membuktikan bahwa ponsel yang terinfeksi Midnight Mimosa melancarkan serangan tertentu atau mengidentifikasi pelanggan yang membeli akses ke koneksinya.

Perangkat dan negara mana yang tercatat dalam temuan?

Meksiko, Prancis, dan Italia mencatat jumlah terbesar, diikuti Amerika Serikat, Jerman, Brasil, dan Spanyol. Jumlah tersebut mencakup ribuan perangkat unik selama sekitar dua tahun, tetapi tidak ada angka total kampanye yang pasti. Angka tersebut adalah hasil deteksi, bukan pendataan lengkap atas seluruh ponsel terinfeksi yang terjual.

Lebih dari 11% perangkat yang disusupi mengidentifikasi diri sebagai KINGKONG X, nama model yang terkait dengan Cubot, sementara lebih dari 4% mengidentifikasi diri sebagai S200 X, yang terkait dengan Doogee. Kedua kelompok model yang dilaporkan itu mencakup lebih dari 15% deteksi. Cubot Kingkong 9 juga disebut dalam pemberitaan tentang penyelidikan tersebut.

Lima belas merek ponsel teratas mencakup 35,8% perangkat terinfeksi. Sekitar 64% dikelompokkan sebagai lainnya, angka pembulatan yang dilaporkan. Sebaran ini menunjukkan pasar terdampak yang terfragmentasi, bukan operasi yang terbatas pada satu merek yang mudah dikenali.

String model palsu yang ditemukan mencakup i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra, dan Note 18 Ultra. Nama tablet iPadAirPro juga muncul. String tersebut dilaporkan oleh perangkat Android murah dan tidak boleh dianggap sebagai bukti bahwa produk Apple atau Samsung asli membawa malware itu.

Pengidentifikasi model saja bukan bukti yang sempurna karena perangkat lunak dapat memalsukan identitas perangkat. Deteksi pada model tertentu juga tidak membuktikan bahwa setiap unit yang dijual dengan nama tersebut terinfeksi. Temuan teknis ini berkaitan dengan perangkat dan versi firmware yang terdampak, bukan semua produk MediaTek atau semua ponsel dari merek yang disebutkan.

Sertifikat firmware tidak membuktikan siapa yang bertanggung jawab

Beberapa firmware yang terdampak ditandatangani dengan sertifikat yang mencantumkan nama Shenzhen Zediel. Bukti penandatanganan ini penting karena menghubungkan komponen berbahaya tersebut dengan firmware yang dipercaya perangkat. Namun, bukti itu saja tidak memastikan siapa yang menyisipkan malware atau apakah pemegang sertifikat mengetahui keberadaannya.

Gozob dan Baciu secara tegas membatasi kesimpulan penyelidikan mereka terkait atribusi tersebut:

Kami hanya dapat memastikan bahwa sertifikat yang mencantumkan nama Shenzhen Zediel digunakan untuk menandatangani firmware pada perangkat yang terdampak.

Laporan menggambarkan perusahaan di balik nama tersebut secara berbeda-beda, termasuk sebagai produsen perangkat Android dan pihak yang tampaknya terkait dengan pengembang papan induk. Uraian itu tidak menjelaskan siapa yang bertanggung jawab. Bitdefender juga menemukan ponsel terdampak yang firmware-nya tidak menggunakan sertifikat atas nama Zediel, sehingga identitas penandatanganan tersebut bukan penjelasan lengkap ataupun indikator universal.

Malware mungkin disisipkan oleh produsen desain asli, integrator firmware, mitra logistik, atau pihak lain dalam rantai distribusi. Laporan tersebut tidak menetapkan salah satunya. Temuan yang dipastikan adalah malware telah masuk ke firmware sebelum ponsel terdampak dijual.

Laporan pemilik menunjukkan mengapa menghapus aplikasi saja tidak cukup

Pemilik ponsel Cubot dan Doogee melaporkan aplikasi mencurigakan yang terpasang kembali setelah dihapus. Seorang pemilik Doogee Fire 3 Max melaporkan bahwa pembaruan firmware resmi memunculkan infeksi, bahwa kembali ke firmware versi lama menghapusnya, dan bahwa pemasangan ulang pembaruan itu membuatnya muncul kembali. Ini adalah laporan pengguna, bukan riwayat yang telah diverifikasi secara independen untuk setiap rilis firmware yang terdampak.

Beberapa pemilik mengatakan pembaruan berikutnya dari produsen mengatasi infeksi pada perangkat mereka. Produsen belum menjelaskan secara terbuka bagaimana kode berbahaya itu masuk ke firmware yang terdampak. Secara keseluruhan, laporan tersebut mendukung perlunya memeriksa versi firmware sebagai bagian penting dari penyelidikan dan perbaikan, alih-alih menganggap bahwa menghapus aplikasi unduhan akan menyelesaikan masalah.

Rangkaian utama yang dipastikan melalui penyelidikan dan pemberitaan selanjutnya adalah:

• Selama sekitar dua tahun, Bitdefender mengamati ribuan perangkat terdampak di lebih dari 150 negara.
• Pada 8 Oktober 2026, Bitdefender menerbitkan penyelidikan tentang Midnight Mimosa.
• Pada 9 Oktober 2026, laporan teknis tersebut diperbarui.
• Dalam pemberitaan yang diterbitkan pada 12 Oktober, aplikasi Google Play terkait dan pihak yang bertanggung jawab atas firmware terdampak masih menjadi persoalan yang belum terselesaikan.

Bitdefender menyatakan bahwa pembersihan mengharuskan penanganan firmware atau penonaktifan komponen berbahaya melalui Android Debug Bridge, yang biasanya disebut ADB. ADB adalah alat yang memungkinkan komputer berkomunikasi dengan perangkat Android untuk keperluan debugging dan administrasi. Menonaktifkan komponen tidak sama dengan mengganti firmware yang disusupi dengan versi bersih yang telah diverifikasi.

Tidak ada perintah pembersihan universal atau daftar firmware bersih yang telah dikonfirmasi. Pemilik sebaiknya meminta solusi yang telah diverifikasi atau penggantian dari penjual maupun produsen, alih-alih berasumsi bahwa suatu pembaruan aman hanya karena berlabel resmi. Selama status perangkat yang diketahui terdampak belum jelas, langkah bijak adalah menghindari penggunaan layanan perbankan, autentikasi akun sensitif, dan penyimpanan informasi penting di perangkat tersebut.

Kekhawatiran ini mencakup akses sensitif yang tidak terlihat digunakan oleh peneliti. Aksesibilitas dan Akses Notifikasi berulang kali diberikan lalu dicabut, dan izin SMS tersedia. Jika diaktifkan oleh kode yang dikirim dari jarak jauh, kemampuan ini dapat membuka isi layar, notifikasi, atau pesan verifikasi. Ini merupakan risiko yang telah ditunjukkan, bukan bukti bahwa Midnight Mimosa mencuri hal-hal tersebut selama analisis.

Poin Utama

• Midnight Mimosa ditemukan tertanam dalam firmware Android sebelum perangkat terdampak sampai ke tangan pembeli.
• Bitdefender mengamati ribuan perangkat terdampak di lebih dari 150 negara selama sekitar dua tahun.
• Operasi ini menyebarkan sedikitnya 32 aplikasi muatan samaran; 13 aplikasi Google Play menggunakan kode dan infrastruktur penipuan iklannya.
• Izin tingkat sistem memungkinkan pemasangan diam-diam, pemberian izin, dan pemuatan kode jarak jauh.
• Pendaftaran proxy dikonfirmasi, tetapi penerusan lalu lintas aktif tidak terpantau pada perangkat uji.
• Sertifikat penandatanganan firmware tidak memastikan siapa yang menyisipkan malware atau apakah pemegang sertifikat terlibat.
• Menghapus aplikasi samaran saja tidak mengatasi komponen persisten. Pembersihan mengharuskan penanganan firmware atau penonaktifan komponen tersebut.