Le 8 octobre 2026, Bitdefender a publié une analyse de Midnight Mimosa, une famille de logiciels malveillants observée dans le firmware de certains téléphones Android à bas prix. Les composants étaient installés avant la première mise en service par l’acheteur. Les chercheurs décrivent des modules de fraude publicitaire et des capacités distantes; ils ne savent pas qui a introduit le code ni à quelle étape de fabrication ou de distribution.
Un composant système déjà présent à l’achat
Les analyses portent sur des applications intégrées à la partition système et signées avec des privilèges élevés. Des noms de paquets imitent ceux de composants Android. L’un des modules étudiés par Bitdefender pouvait installer ou retirer d’autres applications sans intervention de l’utilisateur.
Les chercheurs ont relié la campagne à plusieurs modèles et familles d’appareils, dont des téléphones Doogee et Cubot. BleepingComputer rapporte également des appareils qui imitent des marques connues. Cela ne signifie pas que les fabricants cités ont participé à l’opération: les sources ne déterminent pas qui a modifié le firmware ni à quel maillon de la chaîne.
Fraude publicitaire et fonctions à distance
Bitdefender décrit des composants qui affichent des publicités en arrière-plan et simulent des clics, générant potentiellement des revenus publicitaires frauduleux. L’analyse signale aussi que certains appareils pourraient être transformés en nœuds proxy résidentiels ou intégrés à des botnets. Les observations portent sur les échantillons et l’infrastructure examinés par l’entreprise; elles ne prouvent pas que chaque appareil touché a servi à toutes ces fins.
Les chercheurs ont identifié des permissions sensibles liées à l’accessibilité, aux notifications et aux SMS. Ils précisent ne pas les avoir vues utilisées pendant leur analyse, tout en expliquant qu’elles pouvaient être accordées et activées à distance. Il faut donc distinguer une capacité technique observée dans le code d’un abus effectivement constaté.
Pourquoi un effacement ordinaire peut échouer
Une application utilisateur se désinstalle généralement depuis les réglages. Un composant privilégié intégré à la partition système ne suit pas le même parcours: il peut survivre à une réinitialisation qui efface les données utilisateur. BleepingComputer rapporte que certains possesseurs ont vu des applications suspectes revenir après leur suppression.
Les sources indiquent que certains fabricants ont publié des mises à jour qui auraient corrigé des infections, mais elles ne fournissent pas un outil universel de détection ni une liste complète et confirmée de tous les modèles concernés. Évitez d’installer un firmware trouvé sur un forum ou un site tiers: une image non vérifiée peut aggraver la compromission ou rendre le téléphone inutilisable.
Que faire si votre téléphone est concerné ?
Relevez le modèle exact, la version du firmware et la provenance du téléphone, puis contactez le fabricant ou le vendeur par un canal officiel pour demander une mise à jour authentique et la procédure applicable. Si des applications se réinstallent, si l’appareil génère du trafic inhabituel ou si une solution de sécurité signale une application système suspecte, limitez son usage pour les comptes sensibles jusqu’à clarification.
Depuis un autre appareil fiable, examinez les sessions actives des comptes utilisés sur le téléphone et révoquez celles qui paraissent inconnues. Changez les mots de passe concernés si des signes d’accès non autorisé existent, puis activez une authentification multifacteur lorsque le service la propose. Ces mesures réduisent le risque lié aux comptes; elles ne nettoient pas le firmware du téléphone.
Le lien avec Soclyde
Soclyde ne peut ni détecter ni supprimer un composant malveillant préinstallé dans Android. Son coffre chiffré local-first permet de gérer des mots de passe sans compte Soclyde et sans coffre centralisé exploité par Soclyde, mais la sécurité d’un appareil compromis reste une question distincte. Évitez d’utiliser un appareil dont l’intégrité est incertaine pour renouveler des secrets.
À retenir
Midnight Mimosa illustre un risque situé avant même l’installation d’applications par l’acheteur: le firmware reçu peut déjà contenir des composants privilégiés. Les activités de fraude publicitaire sont documentées, tandis que certaines permissions représentent des capacités que les chercheurs n’ont pas observées en usage. Demandez au fabricant une solution vérifiée et consultez notre guide après un mot de passe piraté si vous devez protéger des comptes utilisés sur le téléphone.
