Waspada! HP Android Murah Disusupi Malware Midnight Mimosa

Sejumlah ponsel Android murah ditemukan mengandung malware yang tertanam langsung di dalam firmware. Malware ini memungkinkan pelaku kejahatan siber memasang aplikasi secara diam-diam, melakukan penipuan iklan, hingga mengubah perangkat korban menjadi proxy residensial tanpa sepengetahuan pemiliknya.

Perusahaan keamanan siber Bitdefender mengidentifikasi kampanye tersebut dengan nama Midnight Mimosa. Serangan ini menargetkan perangkat Android berbasis MediaTek dari berbagai merek, terutama ponsel murah, perangkat tanpa merek terkenal, hingga produk yang diduga meniru merek populer.

Malware bernama com.android.system.lite tersebut memiliki hak akses tingkat sistem, sehingga dapat memasang dan menghapus aplikasi, memberikan izin tambahan kepada dirinya sendiri, serta menjalankan kode yang dikirimkan operator dari jarak jauh.

Berdasarkan laporan yang dilansir dari Bitdefender menemukan bahwa malware ini mampu mengelola sedikitnya 32 aplikasi yang disamarkan. Malware mengambil konfigurasi dari server eksternal, kemudian mengunduh dan menjalankan komponen tambahan untuk melakukan penipuan iklan, memasang aplikasi tertentu, serta mengubah fungsi perangkat sesuai instruksi operator.

"Operator dapat memasang dan menghapus aplikasi sesuka hati, menyesuaikan setiap perangkat sesuai kebutuhan mereka, termasuk menjadikannya bagian dari botnet berskala besar," ungkap Bitdefender.

Ponsel Korban Dijadikan Proxy Residensial

Salah satu kemampuan Midnight Mimosa adalah mengubah ponsel yang terinfeksi menjadi proxy residensial. Teknologi ini menggunakan alamat IP dari jaringan internet pengguna biasa sebagai perantara lalu lintas internet.

Dalam kasus ini, koneksi ponsel korban dapat dimanfaatkan untuk menyamarkan sumber lalu lintas internet yang dikendalikan pelaku. Perangkat juga dapat dijadikan bagian dari botnet, yakni jaringan perangkat yang dikendalikan dari jarak jauh tanpa sepengetahuan pemiliknya.

Selain mengumpulkan informasi perangkat dan aplikasi yang terpasang, operator malware diduga memanfaatkan jaringan tersebut untuk memperoleh keuntungan melalui penipuan iklan dan klik.

Dampaknya bagi pengguna dapat berupa peningkatan konsumsi data internet, baterai yang lebih cepat terkuras, serta aktivitas jaringan yang tidak dikenal. Alamat IP perangkat juga berpotensi digunakan untuk aktivitas yang tidak pernah dilakukan pemiliknya.

Sebanyak 13 Aplikasi Google Play Ikut Teridentifikasi

Bitdefender menegaskan bahwa malware utama tidak melakukan klik palsu secara langsung. Aktivitas tersebut dijalankan melalui aplikasi dropper yang menyamar sebagai aplikasi utilitas biasa.

Aplikasi ini menggunakan perangkat pengembangan periklanan atau software development kit (SDK) yang sah untuk memuat iklan. Namun, aplikasi juga dapat menampilkan jendela tersembunyi di atas aplikasi lain agar penayangan iklan tercatat dan menghasilkan pendapatan secara curang.

Dalam penyelidikannya, Bitdefender menemukan 13 aplikasi di Google Play yang berkomunikasi dengan server pengendali malware yang sama. Aplikasi-aplikasi tersebut memiliki fungsi yang tampak normal, seperti menampilkan informasi cuaca, memindai kode QR, dan mengelola aplikasi.

Meski demikian, aplikasi tersebut juga menampilkan iklan di luar jendela aplikasi, termasuk ketika ponsel tidak sedang digunakan secara aktif.

Berikut daftar aplikasi yang teridentifikasi:

• Wavrge
• App Icon DIY
• Audify
• QR Pocket
• All Deleted Messages Recovery
• WeatherGo
• CoolWeather
• Daily Weather
• Lock & Hide
• QuickText Extractor
• NoteMaster
• Tap to Translate
• Tasky

Bitdefender menyebut seluruh aplikasi tersebut sudah tidak tersedia untuk diunduh melalui Google Play Store saat laporan dipublikasikan. Temuan lain menunjukkan bahwa malware menonaktifkan Google Play Store sebelum memasang komponen berbahaya, lalu mengaktifkannya kembali setelah proses selesai. Langkah ini diduga bertujuan menghindari mekanisme perlindungan Google Play Protect.

Ribuan Perangkat di Lebih dari 150 Negara Terdampak

Malware Midnight Mimosa ditemukan pada perangkat yang firmware-nya ditandatangani menggunakan sertifikat yang dikaitkan dengan Shenzhen Zediel Co., Ltd., produsen perangkat Android asal China. Namun, belum diketahui apakah perusahaan tersebut terlibat atau mengetahui penyebaran malware ini.

Keberadaan malware di dalam firmware mengindikasikan kemungkinan supply chain compromise, yakni ketika perangkat atau komponen perangkat lunak telah disusupi sebelum sampai ke tangan konsumen.

Menurut Bitdefender, kampanye ini telah berlangsung selama kurang lebih dua tahun dan menjangkau ribuan perangkat unik di lebih dari 150 negara. Meksiko menjadi negara dengan jumlah perangkat terinfeksi terbanyak, disusul Prancis, Italia, Amerika Serikat, Jerman, Brasil, Spanyol, Inggris, Kanada, Rumania, Polandia, dan Thailand.

Sebagian besar perangkat yang terdampak merupakan ponsel murah, perangkat white-label, atau produk yang diduga palsu. Beberapa di antaranya bahkan menggunakan nama model yang menyerupai Samsung Galaxy dan iPhone.

Kasus ini bukan yang pertama. Pada akhir 2025, Kaspersky mengungkap Keenadu, malware yang ditemukan tertanam pada sejumlah tablet Android dan terutama digunakan untuk penipuan iklan. Sementara itu, Doctor Web mendokumentasikan Android.Phantom pada Januari 2026, yang ditemukan dalam gim modifikasi dan aplikasi populer untuk melakukan penipuan klik.

Meski memiliki sejumlah kesamaan infrastruktur, temuan tersebut belum membuktikan bahwa semua kampanye itu dijalankan oleh pelaku yang sama.

Menghapus Aplikasi Saja Tidak Cukup

Bitdefender memperingatkan bahwa malware yang tertanam di firmware memiliki risiko lebih besar dibandingkan aplikasi berbahaya biasa. Pasalnya, komponen utamanya berada di partisi sistem sehingga tidak dapat dihapus melalui cara normal.

Karena itu, menghapus aplikasi mencurigakan atau mengatur ulang ponsel ke setelan pabrik belum tentu menyelesaikan masalah. Perangkat mungkin memerlukan pembersihan atau pemasangan ulang firmware yang bersih. Penonaktifan komponen melalui Android Debug Bridge (ADB) juga dapat dilakukan, tetapi membutuhkan keahlian teknis.

Pengguna disarankan membeli ponsel dari penjual tepercaya, memeriksa reputasi produsen, dan mewaspadai iklan yang muncul di luar aplikasi, penggunaan data yang meningkat tanpa sebab jelas, serta aplikasi asing yang tidak pernah dipasang sendiri.

Jika perangkat diduga terinfeksi, pengguna sebaiknya meminta bantuan pusat layanan resmi atau teknisi tepercaya untuk memeriksa firmware.

Bitdefender menegaskan bahwa solusi jangka panjang bergantung pada produsen dan platform distribusi perangkat. Mereka perlu memastikan firmware yang dipasarkan bebas dari malware sejak awal, mengingat ancaman seperti Midnight Mimosa dapat menyusup bahkan sebelum ponsel sampai ke tangan konsumen.