Telefonen var redan hackad i lådan – tusentals billigmobiler levereras med inbyggd skadlig kod
Tusentals lågprismobiler säljs med skadlig kod redan inbäddad i systemprogramvaran – omöjlig att avinstallera och aktiv från första uppstart. Kampanjen, som säkerhetsföretaget Bitdefender kallar Midnight Mimosa, har spårats i över 150 länder och ger angriparna fullständig fjärrstyrning av drabbade enheter. Det är ett läroboksexempel på ett angrepp i försörjningskedjan: hotet skapas inte av användaren, utan av någon långt tidigare i tillverkningsledet.
När hotet finns där innan du ens hunnit logga in
Det finns något obehagligt tankeväckande med en mobiltelefon som är komprometterad redan i lådan. Ändå är det precis vad säkerhetsföretaget Bitdefender beskriver i sin rapport om kampanjen Midnight Mimosa – ett angrepp där skadlig kod är inbäddad direkt i systemprogramvaran på lågpristelefoner baserade på MediaTek-plattformar. Enheterna säljs i över 150 länder och har under de senaste två åren spårats på tusentals unika enheter världen över. Mexiko och Frankrike toppar listan över drabbade länder, tätt följda av Italien, USA och Tyskland.
Det som gör Midnight Mimosa tekniskt sett så allvarligt är inte bara att koden finns där – det är var den finns. Den är installerad som en systemapp med fulla behörigheter, vilket innebär att den är omöjlig att avinstallera på vanligt sätt. Angriparna kan via en central styrserver i det tysta installera appar, tilldela behörigheter och köra godtycklig kod. I praktiken har de fullständig kontroll från det att användaren trycker på strömknappen första gången. Syftet är annonsbedrägerier, klickbedrägerier och att väva in enheterna i ett botnät som sedan kan hyras ut – en lukrativ affärsmodell i den kriminella ekonomins gråzon.
Detta är ett klassiskt exempel på ett angrepp i försörjningskedjan, där sårbarheten inte skapas hos slutanvändaren utan långt tidigare i tillverknings- eller distributionsledet. Det är svårt att skydda sig mot något man inte vet om att det finns.
DNS som vapen – när infrastrukturen vänds mot dig
Medan Midnight Mimosa angriper hårdvaruledet, visar en annan incident från veckan hur sårbar den digitala grundinfrastrukturen är. Google bekräftar att angripare lyckades kapa nationella toppdomäner för Ghana (.gh), Sierra Leone (.sl) och Amerikanska Samoa (.as). Via manipulation av de auktoritativa DNS-posterna kunde angriparna utfärda obehöriga HTTPS-certifikat – inte bara för Googles egna domäner, utan även för andra organisationers.
Säkerhetsincidenten är anmärkningsvärd av flera skäl. DNS – domännamnssystemet – är det fundament som hela det öppna nätet vilar på. Att kunna manipulera det på den här nivån innebär att man kan utge sig för att vara vem som helst, med tekniskt giltiga certifikat som webbläsaren normalt sett litar på. Google blockerade snabbt de obehöriga certifikaten i Chrome och återkallade dem i samarbete med berörda certifikatutfärdare. Men bolaget påpekar att vissa domäner möjligen fortfarande kan vara utsatta.
Som ett konkret råd uppmanar Google domänägare med dessa toppdomänändelser att bevaka certifikattransparensloggar och publicera restriktiva CAA-DNS-poster – ett sätt att begränsa vilka certifikatutfärdare som överhuvudtaget får utfärda certifikat för en domän.
AI som brottsverktyg – och koden som gömmer sig i dikter
Till de mer oroande signalerna hör uppgifterna från Sydkorea, där president Lee Jae Myung uppger att det finns tecken på att AI användes vid de senaste intrången mot landets banker, där kunduppgifter röjdes. Polisen har inlett en fullskalig utredning. Detaljer saknas ännu, men det faktum att en statsöverhuvud nämner AI explicit i sammanhanget markerar en förskjutning – vi är inte längre i ett läge där AI som brottsverktyg är en teoretisk möjlighet.
I samma veckas nyhetsflöde, rapporterar SecurityWeek om ett annat kreativt angrepp: skadlig kod vid namn PoeLLM, kartlagd av säkerhetsforskarna på Black Lotus Labs. Koden riktar sig mot exponerade AI-tjänster och används för kryptovalutautvinning och botnätsbyggande – men det intressanta är hur den kommunicerar med sin styrserver. Den hämtar fyra nyckelord ur ett publicerat dikt på GitHub och omvandlar dem till en IP-adress. Vill operatören byta server byter man bara några ord i dikten. Dikten har uppdaterats elva gånger. Det är nästan elegant i sin absurditet – och ett tydligt tecken på hur angripare lär sig utnyttja öppna plattformar som dolda kommunikationskanaler.
Samtidigt rapporterar säkerhetsföretaget GitGuardian att kampanjen GhostAction under september spred en skadlig arbetsflödesrutin till 772 offentliga arkiv på GitHub, med siktet inställt på känsliga uppgifter som SSH-nycklar och inloggningsuppgifter.
Vår analys
Det som förenar veckans händelser är inte en enskild teknik eller angripare – det är ett mönster. Hoten förflyttas uppströms: in i försörjningskedjor, in i grundläggande infrastruktur som DNS, in i de öppna plattformar vi tar för givna. Och nu, med AI som potentiellt verktyg, höjs också den operativa kapaciteten hos angriparna.
Det är lätt att bli pessimistisk inför den bilden. Men jag ser också något annat: säkerhetsgemenskapen reagerar snabbare och mer koordinerat än tidigare. Certifikattransparensloggar fungerade precis som tänkt i Google-incidenten. Bitdefender kartlade Midnight Mimosa systematiskt. Black Lotus Labs analyserade PoeLLM i detalj.
Utmaningen framöver handlar mindre om att vi saknar verktyg – och mer om att säkra de delar av kedjan som ligger utanför den enskilda användarens kontroll: firmware, DNS-infrastruktur, öppen källkod-ekosystem. Det är där nästa generations säkerhetsarbete behöver ske.