手机首次启动前就已遭入侵
150多个国家的数千台安卓设备受到 Midnight Mimosa 恶意软件活动的影响。该活动在买家首次开机前，就将恶意软件植入手机固件。Bitdefender发现，该行动部署了至少32款伪装应用，另有13款 Google Play 应用含有相同的广告欺诈代码，并与其控制基础设施通信。
目录
这项调查结果于2026年10月8日发布，并于10月9日更新，记录了一个持续约两年的行动。受影响设备包括采用联发科平台的低价手机、借用苹果和三星机型名称的仿冒产品，以及自称为 Doogee S200 X 和 Cubot KINGKONG X 的设备。
Bitdefender的技术报告的核心发现是，感染并不依赖买家下载可疑应用。恶意系统组件随设备一同到货，拥有强大的操作系统权限，还能未经机主许可安装其他软件。
这种潜伏方式让威胁格外难以清除。删除不想要的天气应用或应用锁，或许能移除行动中一个显眼部分，却无法触及安装它的组件。研究人员发现，同一设备上反复出现又消失的有效载荷。
这项调查也有其结论边界：调查未能查明是谁将恶意软件植入固件。研究人员发现了可通过受感染手机转发流量的代码，但测试设备没有收到任何转发任务。运营者可以使用敏感权限，不过研究人员在分析期间没有观察到这些权限被实际使用。
控制软件安装的隐藏组件
调查始于 Bitdefender 的行为检测技术标记了 com.android.system.lite。它的名称和通用的“System”标签看起来像普通安卓组件，但其行为并不寻常：它会悄悄安装和移除无关应用，并反复启用敏感访问权限。
该组件没有可见的启动器图标。它使用安卓平台签名，以系统用户身份运行，并配置为持续驻留。它拥有安装和删除软件包、向其他应用授予权限以及更改安全设置等权限。这些权限远超手机用户下载的普通应用通常能够获得的范围。
研究人员随后发现，同一恶意核心还使用其他名称，包括 com.android.sys.prot、com.android.sys.gmsprot 和 com.android.sys.bcprot。手机用户报告的另一个软件包 com.android.non.szcz 也被认定属于同一系列。不同版本使用了不同名称，有些还采用了不同的签名证书。
这对检测和清理很重要：一个软件包名称并不能代表整个威胁。没有 com.android.system.lite 的手机，仍可能装有同一套恶意机制的其他版本。与安卓应用列表中显示的名称相比，共享行为和底层代码是更可靠的识别依据。
远程代码如何改变手机行为
大量恶意逻辑藏在名为 libeasy.so 的本地库中，而不是公开在系统应用的常规代码里。初始化时，该库使用 RC4 加密隐藏并还原一个约142 KB的内嵌框架。
该框架会从命令与控制服务器获取配置，也就是运营者用来指挥受感染设备的远程服务。它可以下载并加载 DEX 和 JAR 文件，这两种格式用于封装可执行的安卓和 Java 代码。这使运营者能够在设备售出后改变其行为。
研究人员识别出三类插件。其中一类与 com.wz.sdk.DxFactory 相关，用于伪造广告展示和点击；另外两类分别与 com.earnsdk.lib.DxFactory 和 com.gogo.third.lib.DxFactory 相关，支持静默安装和移除其他应用，后一类还包含 WebView 功能。
因此，该系统组件充当的是持续运行的控制器，而不是一段固定不变的广告恶意软件。移除今天的有效载荷，并不能阻止它明天再下载一个。远程加载代码并授予特权权限的组合，也意味着它的潜在活动范围可能超出调查期间记录到的行为。
伪装成普通应用，靠虚假点击获利
该行动的主要目的似乎是牟利。研究人员发现至少32款不同的有效载荷应用，伪装成天气工具、应用锁、文件管理器、图标工具、文字识别工具和音频编辑器。有些应用提供了相应功能，另一些则几乎没有实现其名称暗示的用途。
例如，com.mobile.applock.wt 伪装成应用锁工具，却缺少提供该功能所需的界面和代码。它对用户隐藏，并充当另一个恶意软件投放器，也就是用来传递更多恶意软件的程序。其他已识别的有效载荷还包括 com.dmstudio.weather、com.dl.guard.lock 和 picturetranslate.extractor.text.lite。
这些伪装应用携带了合法的广告软件开发工具包（SDK）。这类工具可让应用展示广告，并通过广告活动获得报酬。它们的存在让欺诈流量拥有了一个应用及广告标识符，收入可以记入这些标识符名下。
Bitdefender安全研究人员 Adrian Mihai Gozob 和 Alex Baciu 描述了常驻系统组件与伪装应用之间的分工：
系统应用本身不会登记欺诈性的广告展示和点击。
控制器提供指令、时机和人为制造的交互，而广告标识符则属于伪装应用。各应用通过共享服务通信，并向基础设施报告相同的设备标识符；该基础设施包括一个伪装成天气 API 的控制服务。这将看似互不相关的工具串联成一场协同运作的广告欺诈活动。
技术分析发现，系统会在没有用户触碰的情况下自动点击、随机选择广告目标、设置每日上限，并在伪造的交互之间设置间隔。分析还发现，系统会在60秒计时器结束后自动报告转化。这些控制机制可以调节虚假活动的节奏，而非持续生成完全相同的事件。
Google Play既是规避检测的目标，也是传播渠道
在部署有效载荷前，恶意软件会暂时禁用 com.android.vending，也就是 Google Play 商店应用。之后它会恢复该应用，并设置了在用户在场时恢复应用的保护机制。Bitdefender评估认为，这可能是为了躲避 Play Protect 检测，但并不能证明每次安装都逃过了扫描。
一些变种还会篡改安卓安装程序的记录，让恶意软件安装的软件看起来像是来自 Google Play。这样一来，机主查看应用来源时，陌生应用可能显得不那么可疑。
广告机制使用了多种展示方式，包括未经用户请求就打开的活动，以及覆盖在其他应用上的界面。其中一种广告展示界面被标记为安全，因此不会出现在截图或屏幕录制中。报告既描述了隐藏的广告活动，也描述了侵入式广告展示，因此不能将该行动简单视为完全隐形。
Google Play 也是另一条独立传播渠道。研究人员发现，13款已发布的应用含有相同的广告欺诈代码，并与 Midnight Mimosa 基础设施通信。这些应用使用了13个不同的签名证书，至少关联两个开发者账户，名称分别为 fivedev 和 CPS Developer。
这些商店应用并不具备预装系统组件所拥有的提升权限。这个区别很重要：下载其中一款应用，并不会自动赋予它与固件组件遭入侵后相同的静默安装能力。不过，即使机主没有主动使用手机，它们仍可能在自身界面之外展示广告。
调查结果被报道时，至少部分相关应用据称仍可下载；Google也未立即回应置评请求。本文没有确认这些应用的下架时间表。Google Play方面的发现表明，风险并不局限于仿冒硬件或出厂时已遭入侵的手机。
发现代理注册，但未观察到主动转发
另一个有效载荷 com.mobile.applock.en 包含 TCP 代理组件。代理会代他人转发互联网流量。如果连接来自普通手机用户，这些流量可能会显示为源自用户的互联网地址，而非实际指挥流量的一方。
该组件会向远程服务器注册设备，并可接收连接指定目标并转发流量的指令。这类能力可用于构建由远程控制设备组成的网络，也就是僵尸网络，并通过出售这些连接的访问权限开辟另一条收入来源。
Bitdefender确认，代理基础设施接受了其测试设备的注册。不过，测试期间该设备没有收到任何中继目标。因此，调查证明了设备能够注册并具备转发能力，但没有证明测试中发生了主动转发。
对分布式拒绝服务攻击的描述也应同样谨慎。这类攻击会利用大量设备产生的流量压垮目标。研究人员将加入僵尸网络和发动此类攻击列为潜在用途，但调查结果并未证实 Midnight Mimosa 手机实施过某次具体攻击，也未确认哪些客户购买了这些连接的访问权限。
调查发现涉及哪些设备和国家？
从地域分布看，墨西哥、法国和意大利位居前列，其次是美国、德国、巴西和西班牙。统计涵盖约两年间数千台独立设备，但未给出行动的确切总数。这些数字是检测结果，并非所有售出受感染手机的完整统计。
超过11%的受感染设备自称为 KINGKONG X，这一机型名称与 Cubot 相关；超过4%自称为 S200 X，与 Doogee 相关。这两个报告机型合计占检测结果的15%以上。有关这项调查的报道还提到了 Cubot Kingkong 9。
排名前15的手机品牌占受感染设备的35.8%。约64%被归为“其他”，这是一个经过四舍五入的报告数字。分布情况表明，受影响市场较为分散，并非只涉及某个容易辨认的品牌。
仿冒机型字符串包括 i17 Pro Max、i16_Pro_Max、17_Pro_Max、S25 Ultra、S24 Ultra 和 Note 18 Ultra。报告中还出现了 iPadAirPro 平板电脑名称。这些字符串来自低价安卓硬件，不能据此认定正版苹果或三星产品携带了恶意软件。
机型标识本身并非绝对可靠，因为软件可以伪造设备身份。在特定机型上检测到恶意软件，也不能证明以这些名称销售的每台设备都受到感染。技术调查针对的是受影响设备和固件版本，并不涵盖所有联发科产品或相关品牌的所有手机。
固件证书不能证明责任归属
部分受影响固件使用了带有 Shenzhen Zediel 名称的证书签名。签名证据很重要，因为它将恶意组件与设备信任的固件联系起来。但仅凭这一点，无法确定是谁植入了恶意软件，也无法证明证书持有者是否知情。
Gozob 和 Baciu 明确说明了调查在归因方面能够得出的结论范围：
我们只能确认，受影响设备上的固件使用了带有 Shenzhen Zediel 名称的证书进行签名。
相关报道对这一名称背后的企业有不同描述，包括将其称为安卓设备制造商，以及称其似乎与主板开发商有关。这些描述都无法厘清责任。Bitdefender也发现了一些受影响手机，其固件签名证书未标注 Zediel 名称，因此这一签名身份既无法解释全部情况，也不是普遍适用的指标。
恶意软件可能由原始设计制造商、固件集成商、物流合作方或分销链中的其他参与者植入。报告没有认定其中任何一方。已确认的事实是，恶意软件随固件进入设备，在受影响手机售出前就已存在。
机主报告显示，仅删除应用并不够
Cubot 和 Doogee 手机用户描述了可疑应用被删除后又重新安装的情况。一名 Doogee Fire 3 Max 机主报告称，感染是在一次官方固件更新后出现的；恢复到旧版固件后，恶意软件消失，但重新安装该更新后又再次出现。这些属于用户报告，并非对每个受影响固件版本经历的独立确认。
一些机主表示，之后的厂商更新解决了感染问题。厂商尚未公开说明恶意代码是如何进入受影响固件的。综合这些说法，调查和修复时应将固件版本视为关键因素，而不能假定删除下载的应用就能解决问题。
调查和后续报道确认的主要时间线如下：
- 约两年间，Bitdefender在150多个国家观察到数千台受影响设备。
- 2026年10月8日，Bitdefender发布了 Midnight Mimosa 调查报告。
- 2026年10月9日，技术报告更新。
- 截至10月12日发布的报道，相关 Google Play 应用和受影响固件的责任归属仍未解决。
Bitdefender表示，清除感染需要处理固件，或通过 Android Debug Bridge（通常称为 ADB）禁用恶意组件。ADB是一种工具，可让计算机与安卓设备通信，用于调试和管理任务。禁用组件并不等同于将受感染固件替换为经过验证的干净版本。
目前没有确定通用清理命令，也没有经过确认的干净固件清单。机主应向卖家或制造商寻求经过验证的解决方案或更换设备，而不要仅因某次更新标注为“官方”就假定其安全。在设备状态尚未查明期间，谨慎的做法是避免在已知受影响设备上使用银行服务、验证敏感账户身份或存储重要信息。
研究人员虽未观察到敏感访问权限被实际使用，但相关风险仍然存在。无障碍权限和通知访问权限被反复授予又撤销，设备上也存在短信权限。如果远程提供的代码启用了这些功能，就可能读取屏幕内容、通知或验证码。这是已证实的风险，但并不能证明 Midnight Mimosa 在分析期间窃取了这些信息。
要点
- 在受影响设备到达买家手中之前，Midnight Mimosa 已被植入安卓固件。
- 约两年间，Bitdefender在150多个国家观察到数千台受影响设备。
- 该行动部署了至少32款伪装有效载荷应用；13款 Google Play 应用使用了其广告欺诈代码和基础设施。
- 系统权限允许恶意软件静默安装应用、授予权限并远程加载代码。
- 确认了代理注册，但未在测试设备上观察到主动流量转发。
- 固件签名证书无法证明是谁植入了恶意软件，也不能证明证书持有者参与其中。
- 仅删除伪装应用无法解决常驻组件问题。清理需要处理固件或禁用该组件。
