Il malware preinstallato Midnight Mimosa continua a infettare dispositivi Android a basso costo, mentre la nuova variante GhostBat RAT sfrutta smishing e l’Accessibility Service per rubare PIN bancari. Ecco cosa c’è di nuovo e come proteggersi.
Il malware noto come Midnight Mimosa rimane una delle minacce più pericolose per gli utenti Android economici. La sua caratteristica distintiva è l’integrazione nel firmware prima dell’installazione, rendendo la rimozione quasi impossibile senza un ripristino completo del sistema. Il codice opera con privilegi di sistema, consentendo l’installazione di app, la manipolazione dei permessi e il download di ulteriori payload da server remoti. In questo modo i dispositivi infetti diventano nodi di botnet o proxy residenziali, utili per attività di click‑fraud, DDoS e raccolta di dati.
Gli attori monetizzano la campagna in tre modi principali:
Per eludere le difese, Midnight Mimosa utilizza nomi di pacchetti ingannevoli, disabilita temporaneamente Google Play Store e nasconde il codice in librerie native (libeasy.so). Il malware è stato trovato in firmware firmati da Shenzhen Zediel Co., Ltd, ma non è chiaro se l’azienda fosse consapevole della compromissione.
Una nuova minaccia, GhostBat RAT, è emersa nel 2025 e si è evoluta per intercettare PIN di oltre 60 app bancarie e fintech in India. La diffusione avviene principalmente tramite smishing: messaggi SMS con link fraudolenti che imitano servizi ufficiali come Parivahan o eChallan. Una volta installato, il malware funge da loader che scarica il payload reale in modo criptato.
La variante più recente sfrutta l’Accessibility Service di Android. Quando l’utente inserisce il PIN in app come Google Pay o MobiKwik, GhostBat posiziona un overlay invisibile di 12 tasti sopra la tastiera reale. Ogni tocco viene registrato e poi riprodotto nell’app originale, consentendo al malware di raccogliere il PIN senza che l’utente ne sia consapevole.
Oltre a Google Pay e MobiKwik, il RAT monitora app come PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge, PayZapp, Groww, Navi, Jupiter, OneCard, JioFinance e Samsung Pay. Il malware analizza lo stato dell’app in esecuzione e intercetta input numerici come potenziali PIN.
L’analisi ha rivelato un backend Firebase denominato ghostx‑panel che funge da hub per la gestione degli operatori. Il sistema supporta più ruoli amministrativi, suggerendo un modello Malware‑as‑a‑Service. Gli operatori possono modificare i server di comando, abilitare o disabilitare funzionalità tramite Firebase Remote Config senza rilasciare nuove versioni dell’app.
Il loader più recente utilizza la libreria nativa libnetbridge.so e impiega più livelli di cifratura, compressione e packaging. I tool di scansione che analizzano solo l’APK esterno spesso falliscono, mentre la capacità di cambiare server di comando rende ancora più arduo bloccare la rete di controllo.
| Aspetto | Midnight Mimosa | GhostBat RAT |
|---|---|---|
| Metodo di distribuzione | Preinstallazione nel firmware | Smishing e download di loader |
| Obiettivo principale | Botnet / proxy / click‑fraud | Rubare PIN bancari |
| Tecniche di occultamento | Partizioni protette, nomi pacchetti ingannevoli | Overlay invisibile, Firebase Remote Config |
| Rilevabilità | Difficile senza ripristino firmware | Difficile senza analisi approfondita dell’APK |
| Impatto globale | 150 paesi, soprattutto Messico, Francia, Italia | India, ma potenzialmente globale tramite smishing |
Entrambe le campagne mostrano una sofisticazione crescente e una dipendenza da infrastrutture condivise. Midnight Mimosa sfrutta la supply chain dei dispositivi, mentre GhostBat RAT si affida a una rete di operatori M‑aaS per distribuire e gestire il malware.
La combinazione di un malware preinstallato a livello di firmware e di un nuovo RAT che sfrutta smishing e l’Accessibility Service evidenzia la diversità delle minacce che colpiscono gli Android di fascia bassa. Mentre Midnight Mimosa si concentra su infrastrutture di botnet e proxy, GhostBat RAT mira direttamente ai dati finanziari degli utenti. La protezione richiede un approccio multilivello: sicurezza del firmware, vigilanza sulle app di terze parti e consapevolezza degli utenti riguardo ai pericoli del smishing.
Rimanere informati e adottare pratiche di sicurezza solide è l’unico modo per ridurre l’impatto di queste minacce in continua evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
