Il malware non arriva con un allegato né con un'app scaricata: è già nel telefono quando lo si accende per la prima volta, fa parte del firmware e non si può disinstallare. È la sintesi della campagna Midnight Mimosa descritta da Bitdefender l'8 ottobre 2026, che tra i paesi più colpiti, dopo Messico e Francia, indica l'Italia.

Cosa è stato scoperto

Bitdefender ha individuato l'anomalia grazie al monitoraggio comportamentale delle app: un pacchetto chiamato com.android.system.lite, etichettato semplicemente «System», si presentava come componente di Android ma attivava continuamente permessi sensibili e installava e rimuoveva app in silenzio. Il codice è in una libreria nativa che si attiva solo a runtime, motivo per cui una scansione statica potrebbe non rilevarlo.

I fatti principali, incrociati tra il report di Bitdefender, SecurityWeek e The Record:

  • si tratta di telefoni Android economici basati su chip MediaTek (nel report compare la piattaforma MT6762), in molti casi marchi anonimi o modelli che imitano nel nome flagship di Samsung e Apple, venduti anche attraverso i principali marketplace online; un dispositivo esaminato costava circa 180 dollari;
  • il componente malevolo è nella partizione di sistema, firmato con un certificato di piattaforma, e per questo ha privilegi di sistema: può installare e rimuovere app, concedere permessi e caricare codice da un server di comando e controllo;
  • prima di installare i payload disattiva temporaneamente il Play Store e lo riattiva dopo, una scelta che secondo Bitdefender sospende di fatto la scansione di Play Protect durante l'installazione;
  • lo scopo osservato è la frode pubblicitaria: impression e clic falsi, annunci mostrati in finestre invisibili, e trasformazione dei telefoni in nodi di una rete di proxy residenziali che può essere affittata ad altri criminali;
  • Bitdefender ha osservato migliaia di dispositivi in oltre 150 paesi in circa due anni, con Messico, Francia e Italia in testa, seguiti da Stati Uniti, Germania, Brasile e Spagna;
  • la stessa tecnologia è presente in 13 app su Google Play, pubblicate da almeno due account sviluppatore, che non hanno i privilegi del componente di firmware ma mostrano annunci anche fuori dall'app.

Il report segnala che il componente ha accesso a Accessibilità, Notifiche e SMS e può abilitarli da sé, ma i ricercatori non hanno osservato un loro uso. È un confine importante: oggi la finalità documentata è la frode pubblicitaria, ma la capacità tecnica va oltre.

Nessuna fonte stabilisce chi abbia inserito il codice né in quale punto della filiera (produttore, integratore di firmware, logistica o altro intermediario). Il certificato riconducibile a un'azienda di Shenzhen, Zediel, è un indizio sulla firma, ma Bitdefender precisa che non prova né il coinvolgimento né la consapevolezza dell'azienda. Il report collega inoltre l'operatore a famiglie già note di malware pubblicitario su Android (Joker nel 2021, Phantom/Click nel 2025) tramite domini condivisi.

Perché è un problema più grande di una frode sui clic

Le difese classiche per smartphone, antivirus mobile, sistema di aggiornamento, rimozione dell'app sospetta, presuppongono che il sistema operativo sia affidabile. Qui il sistema operativo è il vettore. Il proprietario non può rimuovere la minaccia con una normale disinstallazione: Bitdefender indica che servono interventi a livello di firmware o la disattivazione del componente tramite ADB, soluzione che definisce irrealistica per la maggior parte degli utenti.

Una nostra valutazione, da consulente: l'impatto dipende dal contesto d'uso. Su un telefono di un adolescente il danno è soprattutto traffico di rete consumato e dispositivo lento. Su un telefono usato per MFA, home banking, posta aziendale o come terminale di campo un componente con privilegi di sistema che può abilitare Accessibilità e SMS cambia il profilo di rischio, anche se oggi non ci sono prove di abusi in questo senso. Il principio prudenziale è: un dispositivo con firmware non attendibile non deve ricevere né identità né dati.

Cosa significa per le aziende italiane

Il dato che colloca l'Italia al terzo posto riguarda dispositivi consumer, ma le implicazioni per le organizzazioni sono concrete.

BYOD e telefoni «di scorta». In molte PMI i dipendenti usano il proprio telefono per leggere la posta, ricevere codici OTP o accedere a gestionali. Se l'azienda ammette il BYOD senza requisiti minimi sul dispositivo, un telefono come questo entra nel perimetro senza che nessuno lo sappia. Il rischio principale non è la frode pubblicitaria ma la presenza di un'entità con privilegi di sistema sul dispositivo che custodisce il secondo fattore.

Acquisti dispositivi a basso costo. Telefoni economici comprati in blocco per magazzini, punti vendita, consegne o campagne di marketing sono il caso tipico. La scelta del fornitore dovrebbe essere trattata come una scelta di sicurezza e non solo di prezzo.

Quadro normativo. Per i soggetti NIS2 la sicurezza della catena di approvvigionamento (D.Lgs. 138/2024) comprende anche l'hardware acquistato e le sue condizioni di aggiornamento. Per il trattamento di dati personali su tali dispositivi si applica l'art. 32 GDPR: adottare misure adeguate significa anche non autorizzare l'accesso a dati aziendali da dispositivi di provenienza ignota. A livello di mercato UE, i requisiti di cybersicurezza della direttiva RED (regolamento delegato 2022/30) e, per i prodotti con elementi digitali, il Cyber Resilience Act spingono i produttori verso maggiori obblighi, ma la vendita di dispositivi senza marchio attraverso canali online continua a essere il punto debole.

Cosa fare subito

  • Verificare i dispositivi in uso: controllare marca e modello e confrontare i pacchetti installati con quelli indicati da Bitdefender (com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot). Un'app «System» installata come da Play Store senza il tipico blocco di firma di Google Play è un segnale.
  • Diffidare di telefoni a prezzo anomalo, in particolare quelli che imitano il nome di modelli di punta, e privilegiare dispositivi certificati con aggiornamenti di sicurezza garantiti e Play Protect certificato.
  • Non usare un dispositivo sospetto per MFA, banking o accesso aziendale: se un telefono risulta infetto, la scelta più affidabile è sostituirlo, non tentare di «ripulirlo».
  • Introdurre requisiti minimi per il BYOD (livello patch, bootloader bloccato, Play Protect attivo) e farli rispettare con la gestione dei dispositivi mobili (MDM) o l'accesso condizionale.
  • Controllare il traffico di rete verso gli indicatori pubblicati da Bitdefender, in particolare il dominio api.weatherlive[.]world, nei log DNS e firewall.
  • Rimuovere le 13 app Play collegate alla campagna se presenti (l'elenco completo è nel report) e segnalare l'acquisto al rivenditore o al marketplace.
  • Se l'azienda ha acquistato lotti di dispositivi economici, chiedere al fornitore la provenienza del firmware e valutare la sostituzione prima di assegnarli ai dipendenti.