Midnight Mimosa: Günstige Android-Handys mit Proxy-Trojaner in der Firmware. So überprüfen Sie die Farm

Am 8. Oktober 2026 veröffentlichte Bitdefender Labs eine Analyse der Kampagne Midnight Mimosa: Günstige Android-Smartphones mit MediaTek-Chips verlassen das Werk mit bösartigem Code direkt im Systembereich der Firmware. Der Code zeigt unsichtbare Werbung an, installiert und deinstalliert Anwendungen ohne Zustimmung, und eines seiner Module registriert das Telefon im Netzwerk von Resident-Proxys. Die Forscher zählten Tausende von infizierten Geräten in über 150 Ländern innerhalb von etwa zwei Jahren. Die Infektion kann nicht auf herkömmliche Weise entfernt werden.

Für den durchschnittlichen Käufer ist dies eine Geschichte über „kaufen Sie keinen verdächtig günstigen Galaxy-Klon“. Für diejenigen, die Telefonfarmen für Multi-Accounting, SMM, App-Tests oder selbstgemachte mobile Proxys betreiben, ist das Risiko konkreter. Der Großkauf von budgetfreundlichen Android-Geräten schafft genau eine solche Farm. Im Folgenden werden wir untersuchen, was genau gefunden wurde, welche Gefahren dies für die Farm birgt und wie man seine Geräte überprüfen kann.

Was in Midnight Mimosa gefunden wurde

Die Kampagne wurde von Bitdefenders App Anomaly Detection-System bemerkt. Es wurde auf die Systemanwendung com.android.system.lite mit der Bezeichnung „System“ aufmerksam, die stillschweigend andere Programme installierte und deinstallierte. Es stellte sich heraus, dass sie in die Firmware eingebettet und mit einem Plattformzertifikat signiert ist. Daher hat sie Systemrechte: Installation und Deinstallation von Paketen, Erteilung von Berechtigungen, Änderung geschützter Einstellungen.

Die Kette ist in mehrere Stufen unterteilt:

• Bootloader (com.android.system.lite und ähnliche Namen: com.android.sys.prot, com.android.sys.gmsprot) mit einer nativen Bibliothek libeasy.so. Diese entschlüsselt das im APK-Framework versteckte.
• Verstecktes Framework lädt Plugins vom Kontrollserver herunter und führt den remote erhaltenen Code aus.
• Plugins sind für Werbefraud, stille Installation von „Partner“-Apps und eingebautes WebView verantwortlich.
• Tarnanwendungen: Wetter, App-Blocker, Notizen, Texterkennung. Bitdefender zählte etwa 32 solcher Programme.

Vor jeder stillen Installation führt die Malware pm disable com.android.vending aus, das heißt, sie deaktiviert Google Play und aktiviert es dann wieder. Die Forscher vermuten, dass sie so die Überprüfung von Play Protect stört, obwohl dieser Effekt nicht bestätigt ist. Einige Proben fälschen zusätzlich den Installationsquelleneintrag, sodass die Anwendung wie aus Google Play heruntergeladen aussieht.

Geld: unsichtbare Werbung

Die Haupteinnahmen stammen aus Werbefraud. Anzeigen werden in Fenstern über anderen Anwendungen angezeigt, auch wenn das Telefon untätig ist. Diese Fenster sind als geschützt gekennzeichnet, daher werden Screenshots oder Bildschirmaufzeichnungen nicht erfasst. Die Frequenz der „Klicks“ wird durch eine entfernte Konfiguration festgelegt, und die Klicks werden softwareseitig imitiert. 60 Sekunden nach der Anzeige wird ein fiktives „Konversionsereignis“ gesendet. Die Einnahmen fließen an die Tarnanwendungen, die echte Werbe-SDKs installiert haben.

Proxy-Modul: Telefon als Ausgangsknoten

Für unser Thema ist die Anwendung com.mobile.applock.en, die sich „Locket“ nennt, von zentraler Bedeutung. Sie hat keine Benutzeroberfläche und Werbung, und die Berechtigungen beschränken sich auf Internet und Netzwerkstatus. Laut Bitdefender macht sie Folgendes:

1. öffnet eine „rohe“ TCP-Verbindung zum Kontrollserver über den Port 6000;
2. sendet einen Gerätefingerabdruck: Modell, Android-Version, SDK, Build-ID und Marke;
3. erhält vom Server eine Liste von Adressen im Format „Host, Port“ und das Intervall für die Abfrage;
4. stellt zu jeder Adresse einen Tunnel her und leitet den fremden Datenverkehr in beide Richtungen weiter.

Mit anderen Worten, jemand anderes geht über Ihre IP und SIM-Karte ins Internet. Es ist eine ehrliche Anmerkung erforderlich: Bitdefender bestätigte, dass die Infrastruktur die Registrierung von Telefonen akzeptiert. Aber das frisch registrierte Testgerät erhielt keine Aufgaben zur Weiterleitung, und der Kontrollserver, der als aktiv gesehen wurde, wurde später als sinkhole umklassifiziert. Aktive Datenweiterleitung wurde bisher nicht nachgewiesen. Das Mechanismus ist jedoch bereit, und es kann mit einem Befehl vom Server aktiviert werden.

Welche Geräte betroffen sind

• Chipsatz: MediaTek.
• Genannte Modelle: Doogee S200 X und Cubot KINGKONG X. Der Besitzer von Cubot beschrieb im XDA-Forum das versteckte Paket com.android.sys.*, das nach der Deinstallation zurückkam. Laut einem Bericht stellte ein offizielles Firmware-Update die Malware wieder her.
• Fälschungen von Flaggschiffen: In den Firmwares tauchen Namen wie S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max und ähnliche auf. Das sind günstige Klone von Samsung und Apple, die auf Marktplätzen wie AliExpress weit verbreitet sind.
• Geografie: Die meisten Infektionen wurden in Mexiko, Frankreich und Italien festgestellt, gefolgt von den USA, Deutschland, Brasilien, Spanien und einem langen Schwanz in Afrika, Südostasien und dem Nahen Osten.

Einige Firmwares sind mit dem Zertifikat CN=ZED, L=ShenZhen signiert, das mit Shenzhen Zediel in Verbindung gebracht wird. Die Forscher stellen ausdrücklich fest, dass dies nicht die Beteiligung des Unternehmens beweist. Wer und in welchem Schritt der Lieferkette die Firmware verändert hat, ist unbekannt. Laut spanischsprachigen Medien haben Doogee und Cubot bereits Patches veröffentlicht, aber nicht erklärt, wie der Code in die Firmware gelangte.

Separat fand Bitdefender im Google Play Store 13 Anwendungen mit demselben Werbecode. Sie greifen auf dieselbe Infrastruktur zu, haben jedoch keine Systemrechte. Sie wurden unter mindestens zwei Entwicklerkonten veröffentlicht, fivedev und CPS Developer.

Warum dies ein Problem für Telefonfarmen ist

Dies ist nicht der erste solcher Fall. Früher wurden ähnliche Ketten in Auto-Radios mit einem gehackten Updater und in Android-Set-Top-Boxen gefunden. Jetzt sind gewöhnliche Smartphones auf der Liste, die in großen Mengen gekauft werden. Welche Gefahren dies birgt:

• Fremder Datenverkehr über Ihre IP. Wenn das Proxy-Modul beginnt, Datenverkehr weiterzuleiten, wird Ihre mobile IP in den Protokollen von Websites neben Spam, Passwort-Brute-Forcing und Scraping erscheinen. Die Anti-Fraud-Systeme der Plattformen bewerten den Ruf der Adresse, und die Konten auf der Farm beginnen, Prüfungen und Sperren ohne ersichtlichen Grund zu erhalten.
• Datenverbrauch und Batterieverbrauch. Unsichtbare Werbung und Tunnel verbrauchen das mobile Datenvolumen und die Akkuladung. Auf einer Farm mit Dutzenden von Geräten summiert sich das zu erheblichen Kosten.
• Verbundene Konten. Die Malware installiert auf Befehl Anwendungen und sammelt den Gerätefingerabdruck. In einer Farm, in der jedes Telefon wie eine separate Person aussehen sollte, schafft zusätzliche Software mit einem gemeinsamen Kontrollserver unerwünschte Verbindungen zwischen den Geräten.
• Zugriff auf SMS und spezielle Funktionen. Das Systemmodul beantragt Berechtigungen für Accessibility, Zugriff auf Benachrichtigungen und SMS und kann diese selbst erteilen. Bei der Analyse ihrer Nutzung wurde dies nicht bemerkt, aber auf einem Telefon, das Bestätigungscodes für Arbeitskonten empfängt, sind solche Berechtigungen gefährlich.
• Zurücksetzen hilft nicht. Die Komponente befindet sich im Systembereich, daher bringt ein Zurücksetzen auf die Werkseinstellungen das Telefon in denselben infizierten Zustand zurück.

Wie man seine Telefone überprüft: Checkliste

Bitdefender empfiehlt, sich nicht an Paketnamen zu orientieren, sondern an einem stabilen Kern (libeasy.so, cn.kw.lib.hex, Domain api.weatherlive.world), da sich die Namen ändern. Ohne einen Antiviren-Scanner ist dies schwierig, aber eine erste Filterung über ADB dauert eine Minute pro Telefon.

1. Aktivieren Sie das USB-Debugging und verbinden Sie das Telefon mit einem Computer mit adb.
2. Finden Sie verdächtige Systempakete:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Ein normales Android enthält solche Namen nicht. Jede Übereinstimmung ist ein Grund, das Gerät zu isolieren.
3. Suchen Sie nach Tarnanwendungen:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Überprüfen Sie die Installationsquelle des verdächtigen Pakets:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Wenn dort com.android.vending angegeben ist und Sie die Anwendung nicht installiert haben, könnte der Eintrag gefälscht sein.
5. Überprüfen Sie die Netzwerkverbindungen. Auf Port 6000 weist das hexadezimale :1770 in der Spalte der Remote-Adresse hin: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Wenn der Zugriff auf diese Dateien gesperrt ist, überprüfen Sie die Verbindungen am Router der Farm.
6. Versuchen Sie, die Komponente für den Benutzer zu deaktivieren: adb shell pm disable-user --user 0 <Paketname>. Dies ist der Weg über ADB, den Bitdefender beschreibt. In einigen Firmwares können Systempakete nicht so deaktiviert werden, und das ist normal. Das bedeutet, dass das Gerät mit einer offiziellen, sauberen Firmware neu geflasht oder außer Betrieb genommen werden muss.
7. Überprüfen Sie die Firmware beim Hersteller. Wenn ein Patch verfügbar ist, installieren Sie ihn und wiederholen Sie die Schritte 2–5: Berichten zufolge stellte ein Update manchmal die Malware wieder her.

Netzwerkniveau: Schließen Sie den Ausgang für die Farm

Selbst scheinbar saubere Telefone sollten hinter einem Router mit einer Whitelist gehalten werden. Erlauben Sie nur Ports und Richtungen, die tatsächlich für Ihre Anwendungen erforderlich sind: HTTPS zu den benötigten Plattformen und DNS zu Ihrem Resolver. Alles andere sollte verboten werden. Ausgehendes TCP auf Port 6000 und Anfragen an die Domains aus dem Bitdefender-Bericht sind im normalen Betrieb einer Farm nicht zu finden; ein solcher Versuch sollte als Anzeichen einer Infektion gewertet werden. Die Routerprotokolle zeigen innerhalb von 24 Stunden, welches Gerät „anruft“, wo es nicht sollte.

Einkaufsregeln für die Zukunft

• Kaufen Sie kein „Flaggschiff“ zum Preis eines Budgetgeräts. S26 Ultra für einen Fünftel des Preises ist mit hoher Wahrscheinlichkeit ein Klon, und Klone werden in diesem Bericht am häufigsten erwähnt.
• Kaufen Sie bei offiziellen Verkäufern und vergleichen Sie das Modell mit der Website des Herstellers. Dies verringert das Risiko, bietet aber keine Garantie: Doogee und Cubot verkaufen sich selbst offiziell.
• Überprüfen Sie jedes neue Gerät, bevor Sie es in die Farm einführen, anhand der obigen Checkliste. Fünf Minuten am Eingang sind günstiger, als später mit Sperren auf der gesamten Farm umzugehen.
• Führen Sie ein Register: Modell, Firmware-Version, Prüfdatum. Wenn der nächste Bericht über ein bestimmtes Modell veröffentlicht wird, erfahren Sie in einer Minute, wie viele solcher Geräte Sie haben.

Und wenn die Farm nur für die mobile IP benötigt wird

Viele halten Telefone und Modems nur für eine saubere mobile Adresse für Multi-Accounting oder Parsing. Der Selbstbau gibt vollständige Kontrolle, und in dem Material über mobile Proxys selbst gebaut haben wir untersucht, was es kostet. Aber zusammen mit der Kontrolle übernehmen Sie auch die Lieferkette der Hardware. Midnight Mimosa zeigt, dass es fast unmöglich ist, die Firmware eines günstigen Geräts zu überprüfen. Wenn Sie das Telefon nur als Zugang zum Internet benötigen, müssen Sie keine Hardware besitzen und können mobile Proxys mit Bezahlung pro Gigabyte nutzen: Rotation und Geo-Wechsel können ohne Kauf und Neuinstallation von Geräten eingestellt werden. Für Aufgaben, bei denen das mobile Netzwerk nicht erforderlich ist, gibt es residente Adressen.

Fazit

Midnight Mimosa ist bereits nicht die erste Geschichte über Proxy-Module in günstiger Android-Hardware. Im Jahr 2026 waren es TV-Boxen, Autoradios, und jetzt auch Smartphones. Es gibt eine allgemeine Lektion: Wenn ein Gerät verdächtig günstig ist, könnte jemand in die Firmware seine Methode eingebaut haben, um damit Geld zu verdienen, und eine dieser Methoden besteht darin, Ihre IP für fremden Datenverkehr zu verkaufen. Für eine Telefonfarm bedeutet dies drei Dinge: Überprüfen Sie jedes Gerät beim Eingang, schließen Sie der Farm unnötige Netzwerkzugänge und bewerten Sie nüchtern, ob Sie überhaupt Ihre eigene Hardware für eine mobile Adresse benötigen.