باحثو Bitdefender يرصدون برمجية Midnight Mimosa مثبتة مسبقا في هواتف أندرويد منخفضة التكلفة

رصد باحثون في شركة الأمن السيبراني Bitdefender برمجية خبيثة باسم «Midnight Mimosa» كانت مثبتة مسبقا في عدد من هواتف أندرويد منخفضة التكلفة، بما في ذلك أجهزة مقلدة تباع بأسعار منخفضة، وبحسب تقرير الشركة، تستطيع البرمجية تشغيل إعلانات وتوليد نقرات بهدف تحقيق عائدات، كما قد تتيح وجود أبواب خلفية يمكن استغلالها للوصول إلى الأجهزة المصابة والتحكم فيها.

تتخفى كتطبيق يحمل اسم System

قال باحثو Bitdefender إن البرمجية تظهر في صورة تطبيق نظام باسم System، وهو ما قد يصعّب على المستخدمين تمييزها، وخلال التحقيق، عثر الباحثون على النواة البرمجية الخبيثة ذاتها تحت أسماء مختلفة تبدو كمكونات مرتبطة بنظام أندرويد.

ووفقا للتقرير، صممت Midnight Mimosa لإخفاء نشاطها وتجاوز إجراءات الفحص الأمني التقليدية، بما يسمح لها بالاستمرار في العمل دون اكتشافها، ولا يقتصر نشاطها على استهلاك موارد الهاتف لتوليد أرباح إعلانية، إذ قد تهيئ أبوابا خلفية تتيح تنفيذ أنشطة ضارة أخرى على الجهاز.

وتكمن صعوبة إزالة البرمجية في أنها مدمجة على مستوى البرنامج الثابت للجهاز Firmware، لذلك لا يمكن التعامل معها بالطريقة المعتادة لحذف التطبيقات، وأضاف التقرير أن الباحثين لم يحددوا حتى الآن المرحلة الدقيقة من سلسلة توريد الأجهزة التي يجري خلالها زرع هذه البرمجية.

آلاف الحالات بين 2024 و2025

تشير بيانات Bitdefender إلى إصابة آلاف الهواتف بالبرمجية خلال عامي 2024 و2025، مع احتمال وجود حالات إضافية لم تُكتشف بعد في عام 2026. وسجلت المكسيك النسبة الأعلى من الحالات المرصودة، بنحو 13% من الإجمالي، بينما حلت الولايات المتحدة في المرتبة الرابعة بنسبة 8%.

وشملت الأجهزة المتأثرة هواتف من علامتي Doogee وCubot، إلى جانب أجهزة مقلدة يجري تسويقها باعتبارها إصدارات من سلسلة Samsung Galaxy S24 وS25 وS26. وذكر التقرير أن بعض الأجهزة المتضررة تستخدم شرائح من ميدياتك، لكنه شدد على أن استخدام هذه الشرائح وحده لا يثبت إصابة الهاتف.

مخاطر متكررة في الأجهزة منخفضة السعر

ليست هذه أول مرة يجري فيها اكتشاف برمجيات ضارة مثبتة مسبقا في هواتف أندرويد منخفضة التكلفة، ففي عام 2016، ارتبطت برمجية بجهة متعاقدة لتطوير البرامج الثابتة تدعى Ragentek بتعريض ملايين الهواتف لمخاطر أمنية، وشملت أجهزة من علامات Blu وInfinix وDoogee وXolo.

وبحسب المعلومات الواردة، كانت تلك البرمجية تتواصل مع نطاقات إلكترونية مشبوهة وتحول الأجهزة المتأثرة إلى وحدات ضمن شبكة تستهدف تحقيق عائدات مالية، وبعد عامين، واجهت شركة Blu انتقادات تتعلق بجمع بيانات شخصية بصورة غير مشروعة عبر أحد المتعاقدين المسؤولين عن البرامج الثابتة، ومن بينها الرسائل النصية وسجلات المكالمات ومعلومات أخرى.

وتبرز هذه الوقائع المخاطر المرتبطة بالأجهزة التي قد تصل إلى المستهلك مع برمجيات ضارة مدمجة مسبقا، خصوصا في حال غياب الرقابة الأمنية الكافية على سلسلة توريدها وبرامجها الثابتة.

ما الذي يعنيه التقرير للمستخدمين؟

لا يعني رصد Midnight Mimosa أن جميع الهواتف الاقتصادية أو كل الأجهزة التي تستخدم معالجات ميدياتك مصابة، كما لا يتحدث التقرير عن استهداف هواتف سامسونج الرائدة الأصلية أو أجهزة جوجل الرائدة، بل يركز على أجهزة منخفضة التكلفة وأخرى مقلدة.

وتفيد المعلومات الواردة في التقرير بأن الهدف الرئيسي للبرمجية هو استغلال موارد الأجهزة المصابة لتوليد النقرات الإعلانية، وليس سرقة الأموال بصورة مباشرة، لكن احتمال وجود أبواب خلفية وإمكان التحكم في الهاتف يجعل استمرار استخدام جهاز مصاب مخاطرة أمنية، بحسب التقرير.

ومن الخطوات الاحترازية المذكورة إيقاف الهاتف الذي يشتبه بتأثره وفصل شريحة الاتصال، مع التأكيد على أن ذلك لا يمثل حلا نهائيا لإزالة البرمجية أو ضمان سلامة الجهاز، ويمكن البحث عن تطبيق باسم System أو الأسماء البرمجية التي وردت في التقرير، إلا أن وجود تطبيق بهذا الاسم وحده لا يؤكد الإصابة، لأن نظام أندرويد يتضمن مكونات مشروعة تحمل تسميات مشابهة.

ويورد التقرير أن تجنب الأجهزة المقلدة ومجهولة المصدر، واختيار هواتف اقتصادية من شركات موثوقة توفر تحديثات أمنية ودعما برمجيا واضحا، يعد خيارا أكثر أمانا، وذكر Samsung Galaxy A07، الذي قد يتوافر بسعر يقارب 150 دولارا خلال العروض، مثالا على هاتف اقتصادي من علامة معروفة مقارنة بمخاطر شراء جهاز مقلد أو غير معلوم المصدر.