رصدت Bitdefender Labs في 8 أكتوبر 2026 حملة سيبرانية واسعة النطاق تعرف باسم Midnight Mimosa، تعتمد على دمج برمجيات خبيثة ضمن البرنامج الثابت (firmware) لهواتف Android منخفضة التكلفة، ما يجعل إزالتها بالطرق التقليدية مستحيلاً قبل التشغيل الأول للجهاز. وأكد تقرير Bitdefender Labs المحدث في 9 أكتوبر إصابة آلاف الأجهزة في أكثر من 150 دولة خلال فترة تقارب العامين.
وتصدرت المكسيك وفرنسا وإيطاليا قائمة الدول المتضررة، متبوعة بالولايات المتحدة وألمانيا والبرازيل وإسبانيا، في حين سجلت أفريقيا وجنوب شرق آسيا والشرق الأوسط معدلات إصابة أقل. ويشير التركز الجغرافي في أوروبا الغربية والأمريكتين إلى انتقال هذه الأجهزة عبر منصات التجارة الإلكترونية الدولية. وتشمل الأجهزة المصابة طرازات تحمل أسماء هواتف رائدة مقلدة مثل S25 Ultra، إلى جانب هواتف من علامات اقتصادية مثل Doogee وCubot، وهو ما يعيد تسليط الضوء على مخاطر الهواتف منخفضة التكلفة التي قد تنتهك خصوصية المستخدمين عبر التطبيقات المثبتة مسبقاً.
ويعتمد الهجوم على حزمة نظام تسمى com.android.system.lite، تتمتع بصلاحيات النظام لكونها موقعة بشهادة منصة Android، ما يتيح لها تثبيت وحذف الحزم ومنح الأذونات. وتفك مكتبة أصلية تشفير إطار برمجي مخفي يتصل بخادم القيادة والتحكم، تمهيداً لتنزيل إضافات تنفذ عمليات احتيال إعلاني وتثبت تطبيقات تابعة لجهات خارجية دون علم المستخدم. ولتجنب آليات الكشف في Google Play Protect، تعطل البرمجية متجر Google Play مؤقتاً قبل تثبيت كل حمولة ثم تعيد تفعيله لاحقاً.
وتخفي البرمجية أنشطتها خلف واجهات تطبيقات اعتيادية مخصصة للطقس، وقفل التطبيقات، والملاحظات، والتعرف الضوئي على النصوص، حيث أحصت Bitdefender ما لا يقل عن 32 تطبيقاً مموهاً. وتتضمن هذه التطبيقات حزم إعلانات مشروعة تتيح للمشغلين تحقيق أرباح من شبكات الإعلانات نتيجة الزيارات الاحتيالية. وكشفت الشركة أيضاً عن 13 تطبيقاً يحمل شيفرة الاحتيال الإعلاني ذاتها متوفرة على متجر Google Play بتوقيعات صحيحة، ما يعني تجاوزها لعمليات المراجعة الخاصة بشركة Google، لتشكل قناة توزيع ثانية ومستقلة.
ورغم أن المكون الأساسي يطلب أذونات إمكانية الوصول والإشعارات والرسائل النصية ويمتلك قدرة تفعيلها ذاتياً، إلا أن Bitdefender لم تسجل أي استخدام فعلي لها. وتضمنت إحدى الحمولات برنامجاً وسيطاً لتحويل الجهاز المصاب إلى عقدة لتمرير حركة المرور نحو أهداف يحددها المشغل عن بعد. وأوضحت الشركة أن جهازاً تم ربطه حديثاً بهذه البنية التحتية لم يتلق أي أوامر لتمرير البيانات، مصححة بذلك تقييمها السابق بأن الخادم المرصود كان خادم قيادة وتحكم، ليتضح أنه خادم من نوع sinkhole.
وتحمل شهادات التوقيع الخاصة بالبرنامج الثابت اسم شركة تصنيع أجهزة Android تدعى Shenzhen Zediel. وتؤكد Bitdefender أن هذا المعطى لا يثبت تورط الشركة المصنعة أو علمها بالبرمجية، مرجحة تدخل وسطاء في سلاسل الإمداد بين مالك الشهادة ونقطة إدخال البرمجية. ولم يتضمن تقرير الشركة أو التقرير الصادر عن PolySwarm في 19 أكتوبر أي تعليق من Google أو الشركات المصنعة. وأشارت PolySwarm إلى غياب أي ارتباط مؤكد بين الحملة وجهة فاعلة محددة، معتبرة أن تقاطعها مع عائلات برمجيات مثل Android.Joker وAndroid.Phantom وAndroid.Click لا يؤكد وجود مشغل واحد.
ويبقى حذف التطبيقات الظاهرة إجراء غير كافٍ لمعالجة الإصابة، نظراً لاستقرار المكون الأساسي في قسم النظام. وتقول Bitdefender إن التنظيف يحتاج برنامجاً ثابتاً نظيفاً أو تعطيل المكون عبر أداة ADB، وهو أمر غير واقعي لمعظم المالكين، وإن الحل الدائم يقع على عاتق مصنعي الأجهزة والأسواق الإلكترونية. وترى الشركة أن الكشف ينبغي أن يعتمد على علامات ثابتة مثل المكتبة libeasy.so لا على أسماء الحزم التي تتبدل.
