Midnight Mimosa Androïde Le malware est une menace résidente du micrologiciel présente sur certains appareils Android peu coûteux utilisant des plateformes MediaTek. Bitdefender a révélé la campagne le 8 octobre 2026, après que les données de télémétrie l’ont associée à des milliers d’appareils dans plus de 150 pays. Comme le composant principal est une application système privilégiée, la désinstallation des applications suspectes ou la réinitialisation aux paramètres d’usine peut ne pas le supprimer.
Qu’est-ce que le malware Android Midnight Mimosa ?
Le malware Android Midnight Mimosa est une campagne de malware de la chaîne d’approvisionnement dans laquelle une application système signée par la plateforme a été intégrée à certains micrologiciels Android. Selon l’analyse de Bitdefender en 2026, le composant peut installer ou supprimer des paquets, accorder des autorisations et charger du code fourni à distance sans l’approbation normalement requise de la part d’un utilisateur Android.
La distinction est importante. Une application malveillante classique arrive après la configuration d’un téléphone, généralement via un téléchargement, un lien trompeur ou une boutique d’applications tierce. Le composant principal de Midnight Mimosa démarre avec des privilèges système parce qu’il réside dans l’image logicielle fournie avec un appareil affecté.
Bitdefender a observé des noms de paquets, notamment com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot et com.android.sys.bcprot en 2026. Ces noms ne constituent pas des indicateurs définitifs : les chercheurs ont averti que les noms de paquets et les versions évoluent.
Au moins 32 applications servant de charges utiles déguisées ont été identifiées lors de l’enquête menée par Bitdefender en 2026. Elles se faisaient passer pour des outils ordinaires de verrouillage d’applications, de météo, de gestion de fichiers, de reconnaissance optique de caractères, d’icônes et de retouche audio. Ce camouflage rend une inspection superficielle peu fiable, en particulier lorsque l’installateur lui-même n’apparaît pas dans le tiroir d’applications habituel.
Pourquoi les malwares présents dans le micrologiciel sont-ils plus difficiles à supprimer qu’une application malveillante ?
Le malware Android Midnight Mimosa est plus difficile à supprimer parce que son composant racine occupe la partition système protégée plutôt que l’espace de stockage utilisateur ordinaire. Les recommandations de Bitdefender pour 2026 indiquent que la remédiation nécessite un micrologiciel de remplacement fiable ou la désactivation du composant via Android Debug Bridge, communément appelé ADB ; la suppression d’une charge utile installée laisse l’installateur privilégié en place.
Une réinitialisation Android standard efface les comptes, les applications téléchargées et les autres données utilisateur. La documentation d’aide Android de Google pour 2026 explique qu’une réinitialisation ne remplace pas le micrologiciel du fabricant ; vous ne devez donc pas supposer qu’elle supprimera le code déjà intégré à l’image système.
La différence pratique réside dans la persistance. Supposons que vous supprimiez une application météo déguisée et que le composant système en installe ultérieurement une autre : vous avez supprimé une charge utile, mais réduit de zéro le nombre d’éléments de l’infection sous-jacente. BleepingComputer a signalé en octobre 2026 que certains utilisateurs avaient vu des paquets suspects réapparaître après leur suppression, bien qu’aucune explication publique du fabricant n’ait accompagné ces signalements.
Android Verified Boot ne permet pas non plus de trancher la question. La documentation 2026 du Open Source Project indique que Verified Boot vérifie le code par rapport à la racine de confiance configurée par le fabricant de l’équipement d’origine. Un micrologiciel correctement signé peut réussir cette vérification même si un composant indésirable était présent au moment de la signature de l’image.
Cette limite est facile à négliger. Verified Boot peut établir l’intégrité par rapport à une autorité de signature configurée ; il ne peut pas établir de manière indépendante que le micrologiciel signé était sain. La provenance du micrologiciel et la fiabilité du canal de mise à jour restent des questions distinctes.
Que fait Midnight Mimosa sur un téléphone infecté ?
Le malware Android Midnight Mimosa monétise principalement les téléphones affectés par le biais d’une activité publicitaire falsifiée et de leur enrôlement comme nœuds proxy résidentiels. Bitdefender a indiqué en 2026 que le composant privilégié pouvait déployer silencieusement des charges utiles, accorder des autorisations et charger du code, donnant aux opérateurs de la campagne un contrôle nettement supérieur à celui dont bénéficie une application distribuée par Play classique.
Les modules publicitaires généraient des impressions ou des clics artificiels. L’enrôlement comme proxy pouvait rendre un appareil disponible en tant que point de sortie Internet, permettant à une activité distante de sembler provenir de la connexion résidentielle du propriétaire du téléphone.
Il existe une limite importante concernant les éléments de preuve. Bitdefender a testé en 2026 un module proxy utilisant EnLoaderLib version 1.0.6 et a réussi à enrôler un nœud actif, mais le serveur de commande n’a renvoyé aucune cible de relais. Les chercheurs n’ont donc pas confirmé que du trafic avait effectivement été relayé durant ce test.
Des fonctionnalités d’accessibilité, d’accès aux notifications et de gestion des SMS étaient également présentes dans les logiciels analysés en 2026. Bitdefender n’a pas observé l’utilisation de ces fonctionnalités au cours de son analyse ; affirmer que la campagne lisait définitivement les messages ou abusait des fonctions d’accessibilité irait donc au-delà des éléments de preuve publiés.
Les chercheurs ont également signalé que le composant d’activation désactivait temporairement Google Play Store, les charges utiles installées, puis réactivait la boutique. Bitdefender a interprété cette séquence en octobre 2026 comme une tentative probable d’échapper à Google Play Protect, et non comme la preuve que Play Protect lui-même avait été compromis.
Quels téléphones Android sont concernés ?
Aucune liste complète des appareils affectés par le malware Android Midnight Mimosa n’était accessible au public au 13 octobre 2026. Bitdefender a associé la campagne à des milliers d’appareils uniques dans plus de 150 pays en 2024 et 2025, les plus fortes concentrations observées se trouvant au Mexique, en France et en Italie.
Les États-Unis, l’Allemagne, le Brésil et l’Espagne venaient ensuite. La télémétrie géographique montre où les détections sont apparues ; elle n’établit pas où le micrologiciel a été modifié ni où chaque appareil affecté a été vendu.
| Observation | Chiffre publié | Interprétation |
|---|---|---|
| Portée géographique | Plus de 150 pays en 2024–2025 | Large diffusion, et non cartographie complète des ventes |
| Population affectée | Des milliers d’appareils uniques en 2024–2025 | Télémétrie confirmée, et non estimation totale des infections |
| Charges utiles déguisées | Au moins 32 applications identifiées en 2026 | Plusieurs formes de charges utiles peuvent apparaître |
| Matériel de détection publié | 120 hachages MD5 d’échantillons en 2026 | Données utiles pour les investigations, et non liste noire d’appareils |
| Applications Google Play associées | 13 applications identifiées en 2026 | Les marqueurs de la famille étaient apparentés, mais les applications ne disposaient pas de privilèges au niveau du micrologiciel |
Bitdefender a mentionné en 2026 une télémétrie associée aux modèles Doogee S200 X, Cubot KINGKONG X et à des chaînes de modèles contrefaits de type téléphone haut de gamme. Ces observations ne prouvent pas que chaque unité, version du micrologiciel ou appareil actuellement vendu sous ces noms est infecté. Traiter les noms de modèles comme une liste noire serait inexact et injuste.
Le point exact d’insertion demeure également inconnu. Dans sa mise à jour du 9 octobre 2026, Bitdefender a évoqué comme possibilités un fabricant de conception originale, un intégrateur de micrologiciels, un partenaire logistique ou un autre intermédiaire. Les certificats de certains micrologiciels portaient le nom Shenzhen Zediel, mais les chercheurs ont explicitement précisé que ce détail ne prouve pas que l’entreprise a créé ou distribué le malware, ni qu’elle en avait connaissance.
Comment vérifier et sécuriser un téléphone ou une flotte d’entreprise ?
La recherche du malware Android Midnight Mimosa nécessite plus que la vérification d’un seul nom de paquet. En 2026, les acheteurs et les administrateurs de flottes devraient vérifier la certification Play Protect, relever le modèle exact et l’empreinte de version, confirmer la source du micrologiciel et le canal de mise à jour, puis comparer les paquets système et les identités de signature avec une image du fabricant réputée saine.
Commencez par la certification. Ouvrez Google Play Store, sélectionnez Paramètres, puis À propos, et consultez l’entrée relative à la certification Play Protect. Les recommandations de Google pour 2026 indiquent que la certification signifie qu’un appareil a réussi les tests de compatibilité Android, mais elle ne prouve pas que chaque composant du micrologiciel est sain.
Utilisez les vérifications suivantes dans l’ordre, en préservant les éléments de preuve avant de flasher ou de mettre hors service un appareil suspect :
- Notez le fabricant, le modèle exact, la version d’Android, l’empreinte de compilation et le niveau du correctif de sécurité Android affichés par l’appareil en 2026.
- Confirmez où le téléphone a été acheté et vérifiez que ses mises à jour proviennent d’un canal de fournisseur autorisé plutôt que d’un site de téléchargement non identifié.
- Vérifiez la certification Google Play Protect sous Play Store → Paramètres → À propos, tout en tenant compte des limites de cette certification.
- Recherchez les paquets système inexpliqués, les installations silencieuses d’applications et les applications qui réapparaissent après leur suppression. Ne vous fiez pas uniquement au nom d’un paquet.
- Comparez les paquets système installés et leurs identités de signature avec ceux d’un appareil de référence fiable ou d’une image officielle du micrologiciel du fournisseur.
- Pour les flottes gérées, isolez les appareils suspects, préservez les journaux et les indicateurs, puis obtenez un micrologiciel de remplacement fiable ou l’aide d’une équipe qualifiée de réponse aux incidents avant de les reconnecter.
Selon la documentation développeur de Google pour 2026, Android Enterprise prend en charge la gestion des flottes fondée sur des politiques ainsi qu’un rôle dédié de Mobile Threat Defense. Les organisations devraient limiter leurs achats à des vendeurs traçables, exiger une inscription gérée, restreindre les installations aux applications approuvées et déployer une détection des menaces mobiles.
En toute honnêteté, le téléphone peu coûteux provenant d’un vendeur inconnu n’est pertinent que lorsque l’identité du vendeur, l’archive du micrologiciel et la politique de mise à jour peuvent être vérifiées. Les lecteurs qui comparent les nouveaux téléphones à petit prix et les téléphones reconditionnés en 2026 devraient intégrer la provenance au prix d’achat ; un modèle reconditionné pris en charge peut constituer une offre plus sûre.
Veillez également à maintenir les correctifs de sécurité à jour. Notre couverture de la mise à jour Android de septembre 2026 montre pourquoi il est important de disposer d’un processus documenté de distribution des mises à jour, même si un niveau de correctif ne peut à lui seul certifier la provenance de l’image complète d’un fournisseur. Pour un autre exemple de compromission mobile qui contourne les attentes habituelles des utilisateurs, consultez les informations sur le ver informatique d’appels zéro clic de WeChat.
Si vous confirmez la présence d’un composant de micrologiciel suspect, une désinstallation classique ne suffit pas. Les options de remédiation de Bitdefender en 2026 sont l’installation d’un micrologiciel de remplacement fiable ou la désactivation du composant via ADB. Les modifications effectuées avec ADB peuvent désactiver le mauvais service système et être annulées par une mise à jour ; les utilisateurs non techniques devraient donc demander l’image documentée du fabricant ou l’aide d’un professionnel.
FAQ sur le logiciel malveillant Android Midnight Mimosa
Une réinitialisation d’usine supprimera-t-elle Midnight Mimosaf
Il ne faut pas supposer qu’une réinitialisation d’usine Android standard supprimera Midnight Mimosa, car cette réinitialisation efface les données utilisateur au lieu de remplacer le micrologiciel du fabricant. Un micrologiciel de remplacement fiable ou une remédiation ciblée est nécessaire lorsque le composant privilégié se trouve dans l’image système.
Google Play Protect peut-il détecter un micrologiciel infecté ?
Google Play Protect peut analyser les applications et avertir de la présence de logiciels malveillants, mais la certification Play Protect ne garantit pas que chaque composant du micrologiciel fourni par le fabricant soit inoffensif. Bitdefender a signalé en 2026 que l’activateur Midnight Mimosa semblait désactiver temporairement Google Play Store lors de l’installation de la charge utile.
Le nom d’un modèle répertorié prouve-t-il que mon téléphone est infecté?
La mention d’un modèle dans une liste ne prouve pas qu’un téléphone contient le logiciel malveillant Android Midnight Mimosa. Bitdefender a averti en 2026 que les références de télémétrie à certains modèles et aux identifiants contrefaits ne doivent pas être appliquées à chaque appareil ou version de micrologiciel portant ces noms.
Midnight Mimosa vole-t-il des SMS ?
Bitdefender a identifié des fonctionnalités liées aux SMS, à l’accès aux notifications et à l’accessibilité dans le logiciel analysé en 2026, mais les chercheurs n’ont pas observé l’utilisation de ces fonctionnalités. Les éléments publiés attestent d’un accès potentiel, et non d’une confirmation que des SMS ont été dérobés pendant les tests.
Un antivirus peut-il supprimer les logiciels malveillants Android résidant dans le micrologiciel ?
Les logiciels de sécurité mobile peuvent détecter des indicateurs ou des charges utiles, mais la suppression ordinaire d’une application ne peut pas effacer un composant privilégié intégré à la partition système. La remédiation de Midnight Mimosa nécessite le remplacement du micrologiciel par une version fiable ou la désactivation soigneuse du composant root via ADB.