Goedkope Android-smartphones worden volgens beveiligingsonderzoek getroffen door een specifieke vorm van Android-proxy malware. Het gaat om kwaadaardige software die niet pas na aankoop wordt geïnstalleerd, maar al in de firmware van het toestel zit. Daardoor kan de malware op een verborgen manier invloed uitoefenen op wat er op het apparaat gebeurt, waaronder het uitvoeren van adfraud en het inzetten van de telefoon als onderdeel van een residentiële proxy-infrastructuur.
Het fenomeen wordt door Bitdefender gevolgd onder de naam Midnight Mimosa. De activiteit richt zich op Android-apparaten die zijn gebouwd op MediaTek-platforms en speelt zich af bij meerdere merken. Dit is precies het soort dreiging waarbij “aan de gebruikerstappen” (zoals installeren uit een app store) weinig helpen.
Wat doet de Android-proxy malware precies?
De malware draait als een component die op systeemniveau werkt. Dat betekent dat hij over rechten beschikt die voor gewone apps onbereikbaar zijn. Concreet kan het pakket apps installeren of verwijderen, extra machtigingen aanvragen en processen beïnvloeden via functies zoals toegankelijkheidsservices en meldingen.
Een belangrijk onderdeel is dat de malware opstart met een remote configuratie. Vervolgens downloadt het component aanvullende payloads van een externe server. Die payloads zijn bedoeld om activiteiten te starten zoals:
- Ad fraud (het opzetten van misleidende advertentie-interacties)
- Stille installatie of verwijdering van zogeheten partner-apps
- Proxyware die het toestel inzet als doorstuurpunt
- Daarnaast: het toestaan van rechten aan andere app-pakketten
De operators kunnen het apparaat zo “afstellen” op hun behoeften en het inschakelen als node binnen grotere botnet-achtige netwerken. Bitdefender stelt daarbij dat de malware zelf niet de frauduleuze klikken uitvoert; de opbrengst komt vooral van zogenaamde dropper-apps, die vermomd zijn als ogenschijnlijk onschuldige utility-apps.
Waarom is dit zo lastig te detecteren en op te lossen?
Het grootste probleem is dat de kern van de dreiging al is ingebouwd op hardwareniveau: preinstallatie in de firmware. Daardoor ontstaat een gat tussen de verdediging die je als gebruiker verwacht en wat er werkelijk gebeurt.
Normale “front-end” bescherming gaat er vaak van uit dat de eigenaar bij het installatieproces betrokken is. Denk aan installatierequests, store-review, Play Protect en de mogelijkheid om een app nadien simpelweg te verwijderen. Bij een systeemcomponent in de system partition werkt die gedachte minder goed.
Bitdefender benadrukt dat opschonen niet kan leunen op alleen uninstall. Omdat het rootcomponent al in de systeemsectie meekomt, kan de gebruiker het doorgaans niet via de reguliere routes verwijderen. Oplossen vereist volgens het onderzoek een firmware-level cleanup of het uitschakelen van het component via ADB, maar dat is voor de gemiddelde consument geen realistische route.
Adfraud via ‘legitieme’ advertentiekanalen
Opvallend is hoe de opbrengstlogica wordt opgebouwd. In plaats van zelf frauduleuze interacties af te vuren, laten de dropper-apps advertentiecontent via een advertentiesoftware development kit (SDK) lopen. Vervolgens wordt er een onzichtbaar venster bovenop andere apps geplaatst dat registreert welke advertenties worden getoond.
Met andere woorden: de infrastructuur probeert zich te gedragen als een normaal advertentie-uitrolmechanisme, maar dan met misbruik van het apparaat en de zichtbaarheid van wat er gebeurt. Dit maakt de campagne lastiger om te herkennen op basis van alleen “klassieke” malware-indicatoren.
Residentiële proxy’s en botnet-achtige inzet
Naast advertentieopbrengsten is er een tweede doel: het inzetten van geïnfecteerde toestellen als residentiële proxy relay nodes. Dat zijn apparaten die verkeer kunnen doorsturen alsof het afkomstig is van “gewone” woonadressen, wat vaak aantrekkelijker is dan data afkomstig uit datacenters.
Bitdefender beschrijft dat de operators het apparaat kunnen gebruiken in grotere netwerken door steeds opnieuw te bepalen welke rollen en configuraties nodig zijn. De geïnfecteerde toestellen functioneren zo als “zombies” binnen een bredere botnet-achtige set-up.
Omzeiling van Play Protect: Play Store tijdelijk uit
Een extra aandachtspunt uit het onderzoek is dat de malware de Google Play Store app zou uitschakelen voordat de payload-apps worden geïnstalleerd. Zo wordt een deel van de automatische controles, zoals Play Protect, mogelijk omzeild.
Daarna wordt de Play Store weer ingeschakeld zodra de payload is gestart of voltooid. Dit patroon suggereert dat de aanvallers rekening houden met platformbeveiliging en die stap proberen te verstoren.
Niet alleen firmware: ook apps op Google Play
Hoewel het startpunt in de firmware ligt, concludeert Bitdefender dat de campagne niet uitsluitend daarop leunt. In het onderzoek worden dertien apps op Google Play genoemd die communiceren met dezelfde servers die de malware besturen.
Dat betekent dat er mogelijk een bredere keten bestaat: een systeemcomponent dat remote instructies geeft, gecombineerd met apps in de winkel die onderdelen van die keten uitvoeren. In totaal noemt Bitdefender onder meer namen van apps zoals com.audify.editor.wavrge, com.prorestore.qr en picturetranslate.extractor.text.lite (en meerdere varianten daarbuiten).
Welke apparaten lijken geraakt?
De onderzoekers koppelen de infecties aan Android-toestellen die gebouwd zijn op MediaTek-platforms en die over meerdere merken verspreid lijken te zijn. Bitdefender merkt daarnaast op dat het malwarecomponent is aangetroffen op apparaten met firmwareondertekening via certificaten die aan Shenzhen Zediel Co., Ltd worden toegeschreven.
Het is op dit moment niet duidelijk of de certificaathouder betrokken was bij de inzet van de malware of dat er sprake is van een ketenprobleem waarin het certificaat enkel werd gebruikt. In het bredere onderzoek worden bovendien ook andere bedrijfsnamen genoemd.
Qua geografische verspreiding meldt Bitdefender dat het grootste deel van de getroffen toestellen in Mexico is gevonden. Daarna volgen landen als Frankrijk, Italië, de Verenigde Staten, Duitsland, Brazilië en meerdere Europese en andere markten zoals het Verenigd Koninkrijk, Canada en Romania.
Waarom dit een aparte dreigingsklasse is
Preinstalled malware vormt volgens Bitdefender een andere dreigingscategorie dan klassieke apps die je uit een store downloadt. De kern zit in de veronderstelling achter veel gebruikersgerichte beveiliging: die gaat ervan uit dat de eigenaar de installatieautoriteit heeft.
Bij firmware-inbouw verschuift de verantwoordelijkheid richting leveranciers en platformecosystemen. De “duurzame fix” ligt daarom niet alleen bij het schoonmaken van één toestel, maar bij het aanpakken van de bron: het product- en distributieproces waarin de firmware wordt samengesteld en geleverd.
Wat kun je als gebruiker praktisch doen?
Hoewel je als eindgebruiker een systeemcomponent doorgaans niet eenvoudig kunt verwijderen, kun je wél stappen zetten om risico te beperken en schade te verminderen.
- Wees kritisch met onverwachte app-gedragingen (apps die verschijnen/verdwijnen zonder duidelijke reden).
- Houd beveiligingsfuncties actief en controleer meldingen/instellingen rondom toegankelijkheid en app-machtigingen.
- Installeer updates van fabrikant en Android zodra die beschikbaar komen; firmwareproblemen vragen vaak om vendor-patches.
- Beperk blootstelling van proxy-waardige risico’s: vermijd gevoelige accounts op toestellen waarvan je vermoedt dat ze onderdeel kunnen zijn van botnet-infrastructuur.
Wil je breder begrip van hoe attackers certificaat- en beveiligingsketens kunnen misbruiken, lees dan ook eens de analyse over 0-days en rogue certificaten. En als je geïnteresseerd bent in hoe identiteit en controle bij moderne securityconcepten een rol speelt, sluit dit onderwerp aan op controle via identiteit bij Bring Your Own Agent.
Conclusie
De ontdekking van Android-proxy malware in firmware van goedkope Android-toestellen laat zien hoe ver aanvallers kunnen gaan om apparaten langdurig inzetbaar te maken. Door systeemniveau-toegang te combineren met remote payloads en misbruik van advertentie- en proxyfunctionaliteit, kunnen operators zowel inkomsten genereren via adfraud als traffic laten lopen via residentiële proxy’s.
Voor bescherming is daarom meer nodig dan alleen “een app verwijderen”. De structurele oplossing vraagt om ingrepen aan de kant van leveranciers en marketplaces, plus alertheid bij gebruikers richting onverklaarbare app-gedragingen en permissiewijzigingen.
Bron: https://thehackernews.com/2026/10/low-cost-android-phones-ship-with.html
