في 8 أكتوبر 2026، نشرت مختبرات Bitdefender تحليلًا لحملة Midnight Mimosa: الهواتف الذكية الرخيصة التي تعمل بنظام Android والتي تستخدم شرائح MediaTek تخرج من المصنع مع رمز ضار مباشرة في قسم النظام من البرنامج الثابت. يعرض الرمز إعلانات غير مرئية، ويقوم بتثبيت وإزالة التطبيقات دون إذن، وأحد وحداته يسجل الهاتف في شبكة الوكلاء المقيمين. وقد أحصى الباحثون آلاف الأجهزة المصابة في أكثر من 150 دولة على مدى عامين تقريبًا. لا يمكن إزالة العدوى بالطريقة العادية.
بالنسبة للمشتري العادي، هذه قصة عن "لا تأخذ النسخة الرخيصة المشبوهة من Galaxy". بالنسبة لأولئك الذين يديرون مزارع الهواتف لأغراض متعددة الحسابات، وSMM، واختبار التطبيقات أو الوكلاء المحمولين المصنوعين يدويًا، فإن الخطر أكثر تحديدًا. إن شراء الهواتف الذكية الرخيصة بكميات كبيرة هو ما ينشئ مثل هذه المزرعة. أدناه سنستعرض ما تم اكتشافه، وما الذي يهدد المزرعة، وكيفية فحص أجهزتك.
ما الذي تم اكتشافه في Midnight Mimosa
تمت ملاحظة الحملة من قبل نظام اكتشاف الشذوذ في التطبيقات من Bitdefender. وقد أثار اهتمامها التطبيق النظامي com.android.system.lite الذي يحمل توقيع "System"، والذي كان يثبت ويزيل برامج أخرى بهدوء. وتبين لاحقًا أنه مدمج في البرنامج الثابت وموقع بشهادة منصة. لذلك لديه حقوق نظامية: تثبيت وإزالة الحزم، منح الأذونات، وتغيير الإعدادات المحمية.
السلسلة مصممة على عدة مراحل:
- محمل النظام (
com.android.system.liteوأسماء مشابهة:com.android.sys.prot،com.android.sys.gmsprot) مع مكتبة أصليةlibeasy.so. تقوم هذه المكتبة بفك تشفير الإطار المخفي داخل APK. - الإطار المخفي يقوم بتنزيل الإضافات من خادم التحكم وينفذ التعليمات البرمجية المستلمة عن بُعد.
- الإضافات مسؤولة عن الاحتيال الإعلاني، التثبيت الصامت للتطبيقات "الشريكة" وWebView المدمج.
- تطبيقات التغطية: الطقس، مانع التطبيقات، الملاحظات، التعرف على النصوص. أحصت Bitdefender حوالي 32 من هذه البرامج.
قبل كل تثبيت صامت، يقوم البرنامج الضار بتنفيذ pm disable com.android.vending، أي أنه يقوم بإيقاف تشغيل Google Play، ثم يعيد تشغيله مرة أخرى. يعتقد الباحثون أن هذه الطريقة تعيق التحقق من Play Protect، على الرغم من أن هذا التأثير لم يتم تأكيده. بعض العينات أيضًا تزيف سجل مصدر التثبيت، ويبدو أن التطبيق تم تنزيله من Google Play.
المال: الإعلانات غير المرئية
يأتي الدخل الرئيسي من الاحتيال الإعلاني. تظهر الإعلانات في نوافذ فوق تطبيقات أخرى، بما في ذلك عندما يكون الهاتف غير مستخدم. هذه النوافذ مُعلمة على أنها محمية، لذا لا تلتقط لقطة الشاشة أو تسجيل الشاشة لها. يتم تعيين تكرار "النقرات" من خلال تكوين عن بُعد، ويتم تقليد النقرات برمجيًا. بعد 60 ثانية من العرض، يتم إرسال حدث "تحويل" وهمي. تذهب العائدات إلى تطبيقات التغطية التي تحتوي على SDK إعلانات حقيقية.
وحدة الوكيل: الهاتف كنقطة خروج
بالنسبة لموضوعنا، التطبيق الرئيسي هو com.mobile.applock.en، الذي يُطلق على نفسه "Locket". ليس له واجهة أو إعلانات، ومن الأذونات فقط الإنترنت وحالة الشبكة. وفقًا لبيانات Bitdefender، يقوم بما يلي:
- يفتح اتصال TCP "خام" مع خادم التحكم على المنفذ 6000;
- يرسل بصمة الجهاز: الطراز، إصدار Android، SDK، build ID والعلامة التجارية;
- يتلقى من الخادم قائمة بالعناوين بتنسيق "host، port" وفترة إعادة الاستطلاع;
- يبني نفقًا لكل عنوان وينقل حركة المرور الغريبة في كلا الاتجاهين.
بعبارة أخرى، من خلال IP ورقم SIM الخاص بك، يخرج شخص آخر إلى الإنترنت. من المهم أن نلاحظ: أكدت Bitdefender أن البنية التحتية تقبل تسجيل الهواتف. لكن الجهاز التجريبي الذي تم تسجيله حديثًا لم يتلق أي مهام لإعادة الإرسال، وتم إعادة تصنيف خادم التحكم الذي تم رؤيته وهو نشط لاحقًا إلى sinkhole. لم يتم إثبات إعادة توجيه حركة المرور النشطة حتى الآن. ومع ذلك، فإن الآلية جاهزة، ويمكن تفعيلها بأمر واحد من الخادم.
ما هي الأجهزة المعرضة للخطر
- شريحة المعالجة: MediaTek.
- النماذج المسماة: Doogee S200 X وCubot KINGKONG X. وصف مالك Cubot في منتدى XDA حزمة مخفية
com.android.sys.*التي عادت بعد الحذف. وفقًا لإحدى الرسائل، أعاد التحديث الرسمي للبرنامج الثابت البرنامج الضار مرة أخرى. - التقليد للهواتف الرائدة: تظهر أسماء S25 Ultra، S26 Ultra، S24 Ultra، i17 Pro Max وما شابه في البرامج الثابتة. هذه نسخ رخيصة من Samsung وApple، والتي توجد بكثرة في الأسواق مثل AliExpress.
- الجغرافيا: أكبر عدد من الإصابات في المكسيك وفرنسا وإيطاليا، ثم الولايات المتحدة، ألمانيا، البرازيل، إسبانيا، وبعد ذلك ذيل طويل عبر إفريقيا وجنوب شرق آسيا والشرق الأوسط.
بعض البرامج الثابتة موقعة بشهادة CN=ZED، L=ShenZhen، التي ترتبط بشركة Shenzhen Zediel. يوضح الباحثون بشكل مباشر أن هذا لا يثبت مشاركة الشركة. من غير المعروف من ومتى قام بتعديل البرنامج الثابت في سلسلة التوريد. وفقًا للصحافة الناطقة بالإسبانية، أصدرت Doogee وCubot بالفعل تصحيحات، لكن لم يشرحوا كيف دخل الرمز إلى البرنامج الثابت.
عثر Bitdefender أيضًا في Google Play على 13 تطبيقًا بنفس الرمز الإعلاني. تتصل بنفس البنية التحتية، لكن ليس لديها حقوق نظامية. تم نشرها تحت حسابين على الأقل للمطورين، fivedev وCPS Developer.
لماذا تعتبر هذه المشكلة لمزارع الهواتف
هذه ليست الحالة الأولى من نوعها. تم العثور سابقًا على سلاسل مشابهة في أجهزة الراديو في السيارات مع محدث مخترق وفي أجهزة Android. الآن في القائمة هواتف ذكية عادية، والتي يتم شراؤها بكميات. ما الذي يهدد ذلك:
- حركة مرور غريبة على IP الخاص بك. إذا بدأت وحدة الوكيل في إعادة توجيه حركة المرور، سيظهر IP المحمول الخاص بك في سجلات المواقع بجانب البريد العشوائي، وتخمين كلمات المرور، وجمع البيانات. تقيم أنظمة مكافحة الاحتيال سمعة العنوان، وستبدأ الحسابات في المزرعة في تلقي التحقق والحظر دون سبب واضح.
- استهلاك البيانات والبطارية. الإعلانات غير المرئية والأنفاق تستهلك حزمة البيانات والشحن. في مزرعة تحتوي على عشرات الأجهزة، هذه أموال ملحوظة.
- الحسابات المرتبطة. يقوم البرنامج الضار بتثبيت التطبيقات وجمع بصمة الجهاز عند الطلب. في مزرعة حيث يجب أن يبدو كل هاتف كشخص منفصل، فإن البرامج الزائدة مع خادم التحكم المشترك تخلق ارتباطًا غير مرغوب فيه بين الأجهزة.
- الوصول إلى الرسائل القصيرة والميزات الخاصة. يطلب الوحدة النظامية أذونات الوصول إلى إمكانية الوصول، والوصول إلى الإشعارات والرسائل القصيرة، ويمكن أن يمنحها لنفسه. خلال التحليل، لم يتم ملاحظة استخدامها، لكن على الهاتف الذي يتلقى رموز التأكيد للحسابات العملية، فإن هذه الحقوق خطيرة.
- إعادة الضبط لا تساعد. المكون موجود في قسم النظام، لذا فإن إعادة الضبط إلى إعدادات المصنع تعيد الهاتف إلى نفس الحالة المصابة.
كيفية فحص هواتفك: قائمة التحقق
تنصح Bitdefender بالاعتماد ليس على أسماء الحزم، ولكن على النواة المستقرة (libeasy.so، cn.kw.lib.hex، النطاق api.weatherlive.world)، لأن الأسماء تتغير. بدون ماسح ضوئي لمكافحة الفيروسات، يكون ذلك صعبًا، لكن الفرز الأولي عبر ADB يستغرق دقيقة واحدة على الهاتف.
- قم بتفعيل تصحيح USB وقم بتوصيل الهاتف بجهاز الكمبيوتر باستخدام
adb. - ابحث عن الحزم النظامية المشبوهة:
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
لا يحتوي Android العادي على مثل هذه الأسماء. أي تطابق هو سبب لعزل الجهاز. - ابحث عن تطبيقات التغطية:
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy" - تحقق من مصدر تثبيت الحزمة المشبوهة:
adb shell dumpsys package com.dmstudio.weather | grep -i installer
إذا كان هناكcom.android.vending، وأنت لم تقم بتثبيت التطبيق، فقد يكون السجل مزيفًا. - تحقق من الاتصالات الشبكية. يشير المنفذ 6000 إلى
:1770في عمود العنوان البعيد:adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". إذا كانت الوصول إلى هذه الملفات مغلقة، تحقق من الاتصالات على جهاز التوجيه في المزرعة. - حاول تعطيل المكون للمستخدم:
adb shell pm disable-user --user 0 <اسم_الحزمة>. هذا هو نفس الطريق عبر ADB الذي تشير إليه Bitdefender. في بعض البرامج الثابتة، لا يمكن تعطيل الحزم النظامية بهذه الطريقة، وهذا أمر طبيعي. مما يعني أن الجهاز يحتاج إلى إعادة فلاش باستخدام البرنامج الثابت النظيف الرسمي أو إخراجه من الخدمة. - تحقق من البرنامج الثابت لدى الشركة المصنعة. إذا تم إصدار تصحيح، قم بتثبيته، ثم كرر الخطوات 2-5: وفقًا لتقارير المالكين، أحيانًا كان التحديث يعيد البرنامج الضار.
المستوى الشبكي: أغلق المزرعة عن الخروج
حتى الهواتف النظيفة ظاهريًا من المفيد الاحتفاظ بها خلف جهاز التوجيه مع قائمة بيضاء. قم بالسماح فقط بالمنافذ والاتجاهات التي تحتاجها تطبيقاتك فعليًا: HTTPS إلى المواقع المطلوبة وDNS إلى محلل النطاق الخاص بك. احظر كل شيء آخر. حركة TCP الصادرة على المنفذ 6000 والطلبات إلى النطاقات المذكورة في تقرير Bitdefender لا تحدث في التشغيل العادي للمزرعة، يجب اعتبار أي محاولة من هذا القبيل علامة على الإصابة. ستظهر سجلات جهاز التوجيه خلال يوم واحد أي جهاز "يتصل" هناك حيث لا ينبغي له.
قواعد الشراء للمستقبل
- لا تأخذ "الرائد" بسعر جهاز اقتصادي. S26 Ultra بسعر جزء من الخامسة من السعر من المحتمل جدًا أن يكون تقليدًا، والتقليد يتم ذكره في هذا التقرير بشكل متكرر.
- اشترِ من البائعين الرسميين وتحقق من النموذج مع موقع الشركة المصنعة. هذا يقلل من المخاطر، لكنه لا يضمن: تبيع Doogee وCubot رسميًا.
- تحقق من كل جهاز جديد قبل إدخاله في المزرعة باستخدام قائمة التحقق أعلاه. خمس دقائق عند الدخول أرخص من التعامل مع الحظر في جميع أنحاء المزرعة لاحقًا.
- احتفظ بسجل: النموذج، إصدار البرنامج الثابت، تاريخ الفحص. عندما يصدر التقرير التالي عن نموذج معين، ستعرف في دقيقة واحدة عدد هذه الأجهزة التي لديك.
ماذا لو كانت المزرعة مطلوبة من أجل IP المحمول
الكثيرون يحتفظون بالهواتف والمودمات فقط من أجل عنوان المحمول النظيف لأغراض متعددة الحسابات أو جمع البيانات. يوفر التجميع الذاتي تحكمًا كاملاً، وفي المادة حول الوكلاء المحمولين المصنوعين يدويًا قمنا بتحليل تكلفتها. لكن مع التحكم، تتحمل أيضًا سلسلة توريد الأجهزة. تُظهر Midnight Mimosa أن التحقق من البرنامج الثابت لجهاز رخيص يكاد يكون مستحيلًا. إذا كنت بحاجة إلى الهاتف فقط كوسيلة للوصول إلى الشبكة، فلا داعي للاحتفاظ بالأجهزة على الإطلاق، ويمكنك الحصول على وكلاء محمولين مع الدفع لكل جيجابايت: يتم إعداد التدوير وتغيير الجغرافيا دون شراء أو إعادة فلاش الأجهزة. بالنسبة للمهام التي لا تتطلب شبكة محمولة، هناك عناوين سكنية.
الاستنتاج
Midnight Mimosa ليست القصة الأولى عن وحدات الوكيل في الأجهزة الرخيصة التي تعمل بنظام Android. في عام 2026، كانت هذه أجهزة تلفاز، وراديو، والآن هواتف ذكية. هناك درس مشترك: إذا كان الجهاز رخيصًا بشكل مشبوه، فقد يكون شخص ما قد زرع في البرنامج الثابت طريقته لكسب المال، وأحد هذه الطرق هو بيع IP الخاص بك لحركة مرور غريبة. بالنسبة لمزرعة الهواتف، يعني هذا ثلاث أشياء: فحص كل جهاز عند الدخول، إغلاق المزرعة عن الخروج الشبكي الزائد، وتقييم ما إذا كنت بحاجة إلى جهازك الخاص من أجل عنوان المحمول.