Perisian Hasad Midnight Mimosa Disertakan dalam Perisian Tegar Telefon Android, Menjangkau Lebih 150 Negara

Telefon dicerobohi sebelum kali pertama dihidupkan

Ribuan peranti Android di lebih 150 negara terjejas oleh Midnight Mimosa, kempen perisian hasad yang menyisipkan perisian berniat jahat ke dalam perisian tegar telefon sebelum pembeli menghidupkan peranti mereka. Bitdefender mengenal pasti sekurang-kurangnya 32 aplikasi penyamaran yang digunakan dalam operasi itu, selain 13 aplikasi Google Play yang mengandungi kod penipuan pengiklanan sama dan berkomunikasi dengan infrastruktur kawalannya.

Penemuan itu, yang diterbitkan pada 8 Oktober 2026 dan dikemas kini pada 9 Oktober, menghuraikan operasi yang dikesan selama kira-kira dua tahun. Peranti terjejas termasuk telefon murah berasaskan platform MediaTek, produk tiruan yang menggunakan nama model Apple dan Samsung, serta peranti yang mengenal pasti diri sebagai Doogee S200 X dan Cubot KINGKONG X.

Penemuan utama dalam laporan teknikal Bitdefender ialah jangkitan itu tidak bergantung pada pembeli memuat turun aplikasi yang mencurigakan. Komponen sistem berniat jahat dibekalkan bersama peranti, mempunyai kebenaran sistem pengendalian yang luas dan boleh memasang perisian tambahan tanpa meminta izin pemilik.

Keadaan itu menjadikan ancaman ini luar biasa sukar untuk dihapuskan. Memadam aplikasi cuaca atau pengunci aplikasi yang tidak diingini mungkin menghapuskan satu bahagian operasi yang kelihatan, tetapi membiarkan komponen yang memasangnya terus berfungsi. Penyelidik mendapati muatan muncul dan hilang berulang kali pada peranti yang sama.

Terdapat juga batasan pada perkara yang dapat dipastikan oleh penyiasatan itu. Ia tidak mengenal pasti pihak yang menyisipkan perisian hasad ke dalam perisian tegar. Penyelidik menemui kod yang mampu menghalakan trafik melalui telefon dijangkiti, tetapi peranti ujian mereka tidak menerima sebarang arahan penghalaan. Pengendali mempunyai akses kepada kebenaran sensitif, namun penyelidik tidak melihat kebenaran itu digunakan sepanjang analisis.

Komponen tersembunyi yang mengawal pemasangan

Penyiasatan bermula apabila teknologi pengesanan tingkah laku Bitdefender menandakan com.android.system.lite. Namanya dan label Sistem generik itu seolah-olah menunjukkan ia komponen Android biasa, tetapi tindakannya berbeza: ia memasang dan membuang aplikasi lain secara senyap serta berulang kali mengaktifkan akses sensitif.

Komponen itu tidak mempunyai ikon pelancar yang kelihatan. Ia ditandatangani untuk platform Android, berjalan sebagai pengguna sistem dan dikonfigurasikan supaya kekal aktif. Kebenarannya termasuk memasang pakej, memadam pakej, memberikan kebenaran kepada aplikasi lain dan mengubah tetapan selamat. Kuasa ini jauh melangkaui apa yang biasanya tersedia kepada aplikasi yang dimuat turun oleh pemilik telefon.

Penyelidik kemudian menemui teras berniat jahat yang sama di bawah nama lain, termasuk com.android.sys.prot, com.android.sys.gmsprot dan com.android.sys.bcprot. Satu lagi pakej yang dilaporkan oleh pemilik telefon, com.android.non.szcz, dikenal pasti sebagai sebahagian daripada keluarga yang sama. Binaan berbeza menggunakan nama berlainan dan, dalam sesetengah kes, sijil tandatangan berlainan.

Perkara ini penting untuk pengesanan dan pembersihan: satu nama pakej tidak mewakili keseluruhan ancaman. Telefon yang tidak mempunyai com.android.system.lite mungkin masih mengandungi versi lain mekanisme sama. Tingkah laku dan kod asas yang dikongsi merupakan petunjuk yang lebih berguna berbanding label yang dipaparkan dalam senarai aplikasi Android.

Bagaimana kod jauh mengubah fungsi telefon

Kebanyakan logik berniat jahat disembunyikan dalam pustaka natif bernama libeasy.so, bukannya dipaparkan dalam kod biasa aplikasi sistem. Ketika pemulaan, pustaka itu menggunakan penyulitan RC4 untuk menyembunyikan dan kemudian mendapatkan semula rangka kerja terbenam berukuran kira-kira 142 KB.

Rangka kerja itu mendapatkan konfigurasi daripada pelayan arahan dan kawalan, iaitu perkhidmatan jauh yang digunakan pengendali untuk mengarahkan peranti dijangkiti. Ia boleh memuat turun dan memuatkan fail DEX dan JAR, format yang digunakan untuk membungkus kod boleh laksana Android dan Java. Ini membolehkan pengendali mengubah tingkah laku peranti selepas ia dijual.

Penyelidik mengenal pasti tiga keluarga pemalam. Satu, yang dikaitkan dengan com.wz.sdk.DxFactory, mengendalikan paparan dan klik iklan palsu. Dua lagi, yang dikaitkan dengan com.earnsdk.lib.DxFactory dan com.gogo.third.lib.DxFactory, menyokong pemasangan dan pembuangan aplikasi lain secara senyap, manakala yang terakhir turut menyertakan fungsi WebView.

Oleh itu, komponen sistem itu berfungsi sebagai pengawal berterusan, bukannya satu perisian hasad pengiklanan yang tetap. Membuang muatan hari ini tidak akan menghalangnya daripada mendapatkan muatan lain esok. Gabungan pemuatan kod jauh dan pemberian kebenaran istimewa juga bermakna potensi aktivitinya lebih luas daripada tingkah laku yang dirakam sepanjang penyiasatan.

Aplikasi biasa yang menyamar menukar klik palsu menjadi pendapatan

Tujuan utama operasi itu nampaknya menjana wang. Penyelidik menemui sekurang-kurangnya 32 aplikasi muatan berbeza yang menyamar sebagai utiliti cuaca, pengunci aplikasi, pengurus fail, alat ikon, alat pengecaman teks dan penyunting audio. Sesetengahnya menawarkan fungsi, manakala yang lain tidak benar-benar melaksanakan tugas yang digambarkan oleh namanya.

Satu contoh, com.mobile.applock.wt, menyamar sebagai alat pengunci aplikasi tetapi tidak mempunyai antara muka dan kod yang diperlukan untuk menyediakan fungsi itu. Ia disembunyikan daripada pengguna dan bertindak sebagai pemuat turun perisian hasad, iaitu program yang menghantar perisian berniat jahat tambahan. Muatan lain yang dikenal pasti termasuk com.dmstudio.weather, com.dl.guard.lock dan picturetranslate.extractor.text.lite.

Aplikasi penyamaran itu membawa kit pembangunan perisian pengiklanan yang sah, atau SDK. Ini ialah alat yang membolehkan aplikasi memaparkan iklan dan menerima bayaran untuk aktiviti pengiklanan. Kehadirannya memberikan trafik penipuan itu aplikasi dan pengecam pengiklanan yang boleh dikreditkan dengan pendapatan.

Penyelidik keselamatan Bitdefender Adrian Mihai Gozob dan Alex Baciu menerangkan pembahagian tugas antara komponen sistem berterusan dengan aplikasi penyamaran:

Aplikasi sistem itu sendiri tidak mendaftarkan paparan dan klik palsu.

Pengawal membekalkan arahan, masa dan interaksi buatan, manakala pengecam pengiklanan dimiliki aplikasi penyamaran. Aplikasi berkomunikasi melalui perkhidmatan kongsi dan melaporkan pengecam peranti yang sama kepada infrastruktur yang merangkumi perkhidmatan kawalan yang menyamar sebagai API cuaca. Ini menghubungkan utiliti yang kelihatan berasingan menjadi satu operasi pengiklanan yang diselaraskan.

Analisis teknikal menemui klik automatik tanpa sentuhan pengguna, sasaran pengiklanan rawak, had harian dan jarak masa antara interaksi palsu. Ia juga mengenal pasti pelaporan penukaran automatik selepas pemasa 60 saat. Kawalan itu boleh mengatur kadar aktiviti palsu, bukannya menghasilkan aliran peristiwa serupa tanpa henti.

Google Play menjadi sasaran pengelakan dan saluran pengedaran

Sebelum menggunakan muatan, perisian hasad itu melumpuhkan sementara com.android.vending, aplikasi Gedung Google Play. Ia memulihkan aplikasi itu selepas itu dan turut mempunyai langkah perlindungan untuk memulihkannya apabila pengguna berada di hadapan peranti. Bitdefender menilai tindakan ini sebagai kemungkinan percubaan mengelak pengesanan Play Protect, bukannya bukti bahawa setiap pemasangan terlepas daripada pengimbasan.

Sesetengah varian turut memanipulasi rekod pemasang Android supaya perisian yang dipasang oleh perisian hasad kelihatan seolah-olah berasal daripada Google Play. Penyamaran itu boleh membuat aplikasi yang tidak dikenali kelihatan kurang mencurigakan apabila pemilik menyemak asal usulnya.

Mekanisme pengiklanan itu menggunakan permukaan yang merangkumi aktiviti yang dibuka tanpa diminta pengguna serta tindihan yang diletakkan di atas aplikasi lain. Satu permukaan pengiklanan ditandakan sebagai selamat, sekali gus menghalangnya daripada muncul dalam tangkapan skrin atau rakaman skrin. Laporan itu menghuraikan aktiviti pengiklanan tersembunyi serta paparan yang mengganggu, maka operasi ini tidak seharusnya dianggap langsung tidak kelihatan.

Google Play juga merupakan saluran pengedaran yang berasingan. Penyelidik mengenal pasti 13 aplikasi yang diterbitkan dan mengandungi kod penipuan pengiklanan yang sama serta berkomunikasi dengan infrastruktur Midnight Mimosa. Aplikasi itu menggunakan 13 sijil tandatangan berasingan dan sekurang-kurangnya dua akaun pembangun, bernama fivedev dan CPS Developer.

Aplikasi Gedung Play ini tidak mempunyai keistimewaan tinggi yang dimiliki komponen sistem prapasang. Perbezaan ini besar: memuat turun salah satunya tidak secara automatik memberikannya kuasa pemasangan senyap yang sama seperti komponen perisian tegar yang dicerobohi. Namun, aplikasi itu masih boleh memaparkan iklan di luar antara mukanya sendiri, termasuk ketika pemilik tidak sedang menggunakan telefon secara aktif.

Sekurang-kurangnya beberapa aplikasi berkaitan dilaporkan masih tersedia ketika penemuan itu diberitakan, dan Google belum segera menjawab permintaan untuk memberikan komen. Tiada jadual penyingkiran yang disahkan dinyatakan di sini. Penemuan di Play menunjukkan bahawa pendedahan tidak terhad kepada perkakasan tiruan atau telefon yang sudah dicerobohi ketika proses pembuatan.

Pendaftaran proksi dikesan, tetapi penghalaan trafik aktif tidak

Satu lagi muatan, com.mobile.applock.en, mengandungi komponen proksi TCP. Proksi menghalakan trafik internet bagi pihak orang lain. Apabila sambungan itu milik pemilik telefon biasa, trafik berkenaan boleh kelihatan seolah-olah berasal daripada alamat internet pemilik, bukannya pihak yang sebenarnya mengarahkannya.

Komponen itu mendaftarkan peranti dengan pelayan jauh dan boleh menerima arahan untuk menyambung ke destinasi tertentu serta menghalakan trafik. Keupayaan sedemikian boleh menyokong rangkaian peranti yang dikawal dari jauh, atau botnet, dan mewujudkan satu lagi sumber pendapatan melalui penjualan akses kepada sambungan tersebut.

Bitdefender mengesahkan bahawa infrastruktur proksi menerima pendaftaran peranti ujian mereka. Namun, peranti itu tidak menerima sasaran geganti ketika diuji. Oleh itu, penyiasatan menunjukkan keupayaan pendaftaran dan penghalaan, bukan penghalaan aktif dalam ujian tersebut.

Langkah berhati-hati yang sama terpakai kepada serangan penafian perkhidmatan teragih, yang membanjiri sasaran dengan trafik daripada banyak peranti. Penyelidik menyifatkan penyertaan botnet dan serangan sedemikian sebagai kegunaan yang berpotensi. Penemuan itu tidak membuktikan bahawa telefon Midnight Mimosa melancarkan serangan tertentu atau mengenal pasti pelanggan yang membeli akses kepada sambungannya.

Peranti dan negara manakah yang muncul dalam penemuan?

Mexico, Perancis dan Itali mencatat taburan geografi tertinggi, diikuti Amerika Syarikat, Jerman, Brazil dan Sepanyol. Jumlah itu meliputi ribuan peranti unik dalam tempoh kira-kira dua tahun, tetapi jumlah tepat kempen tidak diberikan. Angka tersebut ialah pengesanan, bukannya bancian bagi setiap telefon dijangkiti yang dijual.

Lebih 11% peranti terjejas mengenal pasti diri sebagai KINGKONG X, nama model yang dikaitkan dengan Cubot, manakala lebih 4% mengenal pasti diri sebagai S200 X, yang dikaitkan dengan Doogee. Secara keseluruhan, dua kumpulan model yang dilaporkan itu merangkumi lebih 15% pengesanan. Cubot Kingkong 9 turut dikenal pasti dalam laporan mengenai penyiasatan itu.

15 jenama telefon teratas mewakili 35.8% peranti dijangkiti. Kira-kira 64% dikelompokkan sebagai lain-lain, angka anggaran yang dilaporkan. Taburan itu menunjukkan pasaran terjejas yang berpecah-pecah dan bukannya operasi yang terhad kepada satu jenama dikenali.

Rentetan nama model tiruan termasuk i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra dan Note 18 Ultra. Nama tablet iPadAirPro turut muncul. Rentetan ini dilaporkan oleh perkakasan Android murah dan tidak seharusnya disalah anggap sebagai bukti bahawa produk tulen Apple atau Samsung membawa perisian hasad itu.

Pengecam model sahaja bukan bukti yang sempurna kerana perisian boleh memalsukan identiti peranti. Pengesanan pada model tertentu juga tidak membuktikan bahawa setiap unit yang dijual dengan nama tersebut dijangkiti. Penemuan teknikal itu merangkumi peranti dan binaan perisian tegar yang terjejas, bukannya semua produk MediaTek atau semua telefon daripada jenama yang disebut.

Sijil perisian tegar tidak membuktikan pihak yang bertanggungjawab

Sesetengah perisian tegar terjejas ditandatangani dengan sijil yang membawa nama Shenzhen Zediel. Bukti tandatangan itu penting kerana ia mengaitkan komponen berniat jahat dengan perisian tegar yang dipercayai oleh peranti. Namun, bukti itu sahaja tidak menentukan siapa yang menyisipkan perisian hasad atau sama ada pemegang sijil mengetahui kewujudannya.

Gozob dan Baciu secara jelas mengehadkan perkara yang dapat dipastikan oleh penyiasatan mereka berhubung atribusi itu:

Kami hanya dapat mengesahkan bahawa sijil yang membawa nama Shenzhen Zediel digunakan untuk menandatangani perisian tegar pada peranti terjejas.

Laporan menggambarkan perniagaan di sebalik nama itu secara berbeza, termasuk sebagai pengeluar peranti Android dan sebagai pihak yang nampaknya mempunyai kaitan dengan pembangun papan induk. Gambaran tersebut tidak menjelaskan siapa yang bertanggungjawab. Bitdefender juga menemui telefon terjejas tanpa sijil perisian tegar yang menamakan Zediel, maka identiti penandatangan itu bukan penjelasan lengkap atau petunjuk sejagat.

Kemungkinan pihak yang menyisipkan perisian hasad termasuk pengeluar reka bentuk asal, penyepadu perisian tegar, rakan logistik atau pihak lain dalam pengedaran. Laporan itu tidak menetapkan mana-mana pihak sebagai pelaku. Penemuan yang disahkan ialah perisian hasad tersebut tiba dalam perisian tegar sebelum telefon terjejas dijual.

Laporan pemilik menunjukkan mengapa memadam aplikasi tidak mencukupi

Pemilik telefon Cubot dan Doogee melaporkan aplikasi mencurigakan dipasang semula selepas dibuang. Seorang pemilik Doogee Fire 3 Max melaporkan bahawa kemas kini perisian tegar rasmi membawa masuk jangkitan, kembali kepada perisian tegar lebih lama menghapuskannya, dan memasang semula kemas kini itu menyebabkan jangkitan muncul semula. Ini ialah laporan pengguna, bukannya sejarah yang disahkan secara bebas bagi setiap keluaran perisian tegar terjejas.

Sesetengah pemilik berkata kemas kini pengeluar seterusnya menyelesaikan jangkitan mereka. Pengeluar belum menjelaskan secara terbuka bagaimana kod berniat jahat itu memasuki perisian tegar terjejas. Secara keseluruhan, laporan tersebut menyokong keperluan untuk mengambil kira versi perisian tegar dalam penyiasatan dan pembaikan, bukannya menganggap pemadaman aplikasi yang dimuat turun akan menamatkan masalah.

Urutan utama yang disahkan oleh penyiasatan dan laporan susulan adalah seperti berikut:

• Dalam tempoh kira-kira dua tahun, Bitdefender mengesan ribuan peranti terjejas di lebih 150 negara.
• Pada 8 Oktober 2026, Bitdefender menerbitkan penyiasatannya mengenai Midnight Mimosa.
• Pada 9 Oktober 2026, laporan teknikal itu dikemas kini.
• Menjelang laporan yang diterbitkan pada 12 Oktober, aplikasi Google Play berkaitan dan pihak yang bertanggungjawab terhadap perisian tegar terjejas masih belum dipastikan.

Bitdefender menyatakan bahawa pembersihan memerlukan tindakan terhadap perisian tegar atau pelumpuhan komponen berniat jahat melalui Android Debug Bridge, yang biasanya dipanggil ADB. ADB ialah alat yang membolehkan komputer berkomunikasi dengan peranti Android untuk tugas penyahpepijatan dan pentadbiran. Melumpuhkan komponen tidak sama dengan menggantikan perisian tegar terjejas dengan versi bersih yang telah disahkan.

Tiada arahan pembersihan sejagat atau senarai perisian tegar bersih yang disahkan ditetapkan. Pemilik patut mendapatkan penyelesaian atau penggantian yang disahkan daripada penjual atau pengeluar, dan bukannya menganggap sesuatu kemas kini selamat hanya kerana dilabel rasmi. Langkah berjaga-jaga yang wajar ialah mengelakkan urusan perbankan, pengesahan akaun sensitif dan penyimpanan maklumat penting pada peranti yang diketahui terjejas selagi statusnya belum diselesaikan.

Kebimbangan ini turut merangkumi akses sensitif yang tidak dilihat digunakan oleh penyelidik. Aksesibiliti dan Akses Pemberitahuan berulang kali diberikan dan ditarik balik, manakala kebenaran SMS turut tersedia. Keupayaan ini boleh mendedahkan kandungan skrin, pemberitahuan atau mesej pengesahan jika kod yang dibekalkan dari jauh mengaktifkannya. Ini ialah risiko yang dibuktikan oleh keupayaan tersebut, bukannya bukti bahawa Midnight Mimosa mencuri maklumat itu sepanjang analisis.

Perkara Utama

• Midnight Mimosa ditemui tertanam dalam perisian tegar Android sebelum peranti terjejas sampai kepada pembeli.
• Bitdefender mengesan ribuan peranti terjejas di lebih 150 negara dalam tempoh kira-kira dua tahun.
• Operasi itu menggunakan sekurang-kurangnya 32 aplikasi muatan penyamaran; 13 aplikasi Google Play berkongsi kod dan infrastruktur penipuan pengiklanannya.
• Keistimewaan sistem membolehkan pemasangan senyap, pemberian kebenaran dan pemuatan kod jauh.
• Pendaftaran proksi disahkan, tetapi penghalaan trafik aktif tidak diperhatikan pada peranti ujian.
• Sijil tandatangan perisian tegar tidak membuktikan siapa yang menyisipkan perisian hasad atau sama ada pemegang sijil terlibat.
• Membuang aplikasi penyamaran sahaja tidak menangani komponen berterusan itu. Pembersihan memerlukan tindakan terhadap perisian tegar atau pelumpuhan komponen tersebut.