मिडनाइट मिमोसा: सस्ते एंड्रॉइड के फर्मवेयर में प्रॉक्सी-ट्रोजन

8 अक्टूबर 2026 को Bitdefender Labs ने Midnight Mimosa अभियान का विश्लेषण प्रकाशित किया: सस्ते Android-स्मार्टफोन MediaTek चिप्स पर सीधे सिस्टम फर्मवेयर के हिस्से के साथ मैलवेयर कोड के साथ फैक्ट्री से बाहर आते हैं। कोड अदृश्य विज्ञापन दिखाता है, बिना अनुमति के ऐप्स स्थापित और हटा देता है, और इसके एक मॉड्यूल ने फोन को रेजिडेंट प्रॉक्सी नेटवर्क में पंजीकृत किया। शोधकर्ताओं ने लगभग दो वर्षों में 150+ देशों में हजारों संक्रमित उपकरणों की गिनती की। सामान्य तरीके से संक्रमण को हटाना संभव नहीं है।

सामान्य खरीदार के लिए यह कहानी "संदिग्ध रूप से सस्ते Galaxy क्लोन न खरीदें" के बारे में है। उन लोगों के लिए जो फोन फार्म रखते हैं मल्टी-एकाउंटिंग, SMM, ऐप परीक्षण या घरेलू मोबाइल प्रॉक्सी के लिए, जोखिम अधिक स्पष्ट है। सस्ते Android उपकरणों की थोक खरीद वास्तव में ऐसे फार्म का निर्माण करती है। नीचे हम देखेंगे कि उन्होंने क्या पाया, इससे फार्म को क्या खतरा है और अपने उपकरणों की जांच कैसे करें।

Midnight Mimosa में क्या पाया गया

Bitdefender की App Anomaly Detection प्रणाली ने अभियान को नोटिस किया। इसे सिस्टम ऐप com.android.system.lite के बारे में चिंता हुई, जिसका हस्ताक्षर "System" था, जो चुपचाप अन्य प्रोग्राम स्थापित और हटा रहा था। आगे पता चला कि यह फर्मवेयर में अंतर्निहित है और प्लेटफॉर्म प्रमाणपत्र द्वारा हस्ताक्षरित है। इसलिए इसके पास सिस्टम अधिकार हैं: पैकेज स्थापित और हटाना, अनुमतियाँ देना, सुरक्षित सेटिंग्स में परिवर्तन करना।

श्रृंखला कई चरणों में व्यवस्थित है:

सिस्टम बूटलोडर (com.android.system.lite और समान नाम: com.android.sys.prot, com.android.sys.gmsprot) जिसमें एक नेटिव लाइब्रेरी libeasy.so है। यह APK-फ्रेमवर्क के अंदर छिपे हुए कोड को डिक्रिप्ट करता है।
छिपा हुआ फ्रेमवर्क प्रबंधन सर्वर से प्लगइन्स डाउनलोड करता है और दूर से प्राप्त कोड को निष्पादित करता है।
प्लगइन्स विज्ञापन धोखाधड़ी, "साझेदार" ऐप्स की चुपचाप स्थापना और अंतर्निहित WebView के लिए जिम्मेदार हैं।
कवर ऐप्स: मौसम, ऐप ब्लॉकर, नोट्स, टेक्स्ट पहचान। Bitdefender ने लगभग 32 ऐसे प्रोग्रामों की गिनती की।

हर चुपचाप स्थापना से पहले, मैलवेयर pm disable com.android.vending निष्पादित करता है, यानी Google Play को बंद कर देता है, और फिर इसे फिर से चालू करता है। शोधकर्ताओं का मानना है कि इस तरह वह Play Protect की जांच में बाधा डालता है, हालांकि इस प्रभाव की पुष्टि नहीं हुई है। कुछ नमूने इसके अलावा स्थापना के स्रोत की रिकॉर्डिंग को भी फर्जी बनाते हैं, और ऐप Google Play से डाउनलोड किया गया प्रतीत होता है।

पैसे: अदृश्य विज्ञापन

मुख्य आय विज्ञापन धोखाधड़ी से आती है। विज्ञापन अन्य ऐप्स के ऊपर विंडो में दिखाई देते हैं, यहां तक कि जब फोन निष्क्रिय होता है। ये विंडो सुरक्षित के रूप में चिह्नित होती हैं, इसलिए स्क्रीनशॉट या स्क्रीन रिकॉर्डिंग उन्हें कैद नहीं करते। "क्लिक्स" की आवृत्ति दूरस्थ कॉन्फ़िगरेशन द्वारा निर्धारित की जाती है, और क्लिक प्रोग्रामेटिक रूप से अनुकरण किए जाते हैं। दिखाए जाने के 60 सेकंड बाद एक फर्जी "परिवर्तन" घटना भेजी जाती है। राजस्व कवर ऐप्स को जाता है, जिनमें वास्तविक विज्ञापन SDK होते हैं।

प्रॉक्सी-मॉड्यूल: फोन को आउटपुट नोड के रूप में

हमारे विषय के लिए मुख्य ऐप com.mobile.applock.en है, जो खुद को "Locket" कहता है। इसका कोई इंटरफेस और विज्ञापन नहीं है, और अनुमतियों में केवल इंटरनेट और नेटवर्क स्थिति है। Bitdefender के अनुसार, यह निम्नलिखित करता है:

प्रबंधन सर्वर के साथ पोर्ट 6000 पर "कच्चा" TCP कनेक्शन खोलता है;
डिवाइस का फ़िंगरप्रिंट भेजता है: मॉडल, Android संस्करण, SDK, बिल्ड ID और ब्रांड;
सर्वर से "होस्ट, पोर्ट" प्रारूप में पते की सूची और पुनः पूछताछ का अंतराल प्राप्त करता है;
प्रत्येक पते के लिए एक सुरंग बनाता है और दोनों दिशाओं में अन्य ट्रैफ़िक को प्रेषित करता है।

दूसरे शब्दों में, आपके IP और SIM कार्ड के माध्यम से इंटरनेट पर कोई और जा रहा है। एक ईमानदार चेतावनी की आवश्यकता है: Bitdefender ने पुष्टि की है कि अवसंरचना फोन की पंजीकरण स्वीकार करती है। लेकिन हाल ही में पंजीकृत परीक्षण उपकरण को पुनः प्रसारण के लिए कोई कार्य नहीं मिला, और प्रबंधन सर्वर, जिसे जीवित देखा गया था, बाद में sinkhole में पुनः वर्गीकृत किया गया। सक्रिय ट्रैफ़िक प्रेषण अभी तक सिद्ध नहीं हुआ है। इस बीच, तंत्र तैयार है, और इसे सर्वर से एक कमांड के साथ चालू किया जा सकता है।

कौन से उपकरण खतरे में हैं

चिपसेट: MediaTek।
नामित मॉडल: Doogee S200 X और Cubot KINGKONG X। Cubot के मालिक ने XDA फोरम पर छिपे हुए पैकेज com.android.sys.* का वर्णन किया, जो हटाने के बाद वापस आ गया। एक रिपोर्ट के अनुसार, आधिकारिक फर्मवेयर अपडेट ने मैलवेयर को वापस लौटा दिया।
फ्लैगशिप के लिए नकली: फर्मवेयर में S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max और इसी तरह के नाम मिलते हैं। ये सस्ते Samsung और Apple क्लोन हैं, जो AliExpress जैसे मार्केटप्लेस पर बहुतायत में हैं।
भूगोल: सबसे अधिक संक्रमण मेक्सिको, फ्रांस और इटली में हैं, इसके बाद अमेरिका, जर्मनी, ब्राजील, स्पेन, और फिर अफ्रीका, दक्षिण-पूर्व एशिया और मध्य पूर्व में लंबी पूंछ।

कुछ फर्मवेयर CN=ZED, L=ShenZhen प्रमाणपत्र द्वारा हस्ताक्षरित हैं, जिसे Shenzhen Zediel से जोड़ा जाता है। शोधकर्ता स्पष्ट रूप से कहते हैं कि यह कंपनी की भागीदारी को साबित नहीं करता है। किसने और आपूर्ति श्रृंखला के किस चरण में फर्मवेयर को संशोधित किया, यह अज्ञात है। स्पेनिश-भाषी प्रेस के अनुसार, Doogee और Cubot ने पहले ही पैच जारी किए हैं, लेकिन यह नहीं बताया कि कोड फर्मवेयर में कैसे आया।

अलग से, Bitdefender ने Google Play में 13 ऐप्स पाए हैं जिनमें वही विज्ञापन कोड है। वे उसी अवसंरचना से संपर्क करते हैं, लेकिन उनके पास सिस्टम अधिकार नहीं हैं। इन्हें कम से कम दो डेवलपर खातों, fivedev और CPS Developer के तहत प्रकाशित किया गया है।

यह फोन फार्म के लिए समस्या क्यों है

यह पहले ऐसा मामला नहीं है। पहले समान श्रृंखलाएँ ऑटोमोटिव म्यूजिक सिस्टम में कब्जा किए गए अपडेटर्स और Android सेट-टॉप बॉक्स में पाई गई थीं। अब सूची में सामान्य स्मार्टफोन हैं, और इन्हें थोक में खरीदा जाता है। इससे क्या खतरा है:

आपके IP पर अन्य का ट्रैफ़िक। यदि प्रॉक्सी-मॉड्यूल ट्रैफ़िक को पुनः प्रेषित करना शुरू करता है, तो आपका मोबाइल IP स्पैम, पासवर्ड क्रैकिंग और स्क्रैपिंग के साथ साइटों के लॉग में दिखाई देगा। प्लेटफार्मों की एंटी-फ्रॉड प्रणाली पते की प्रतिष्ठा का आकलन करती है, और फार्म पर खाते बिना स्पष्ट कारण के जांच और प्रतिबंध प्राप्त करना शुरू कर देंगे।
ट्रैफ़िक और बैटरी की खपत। अदृश्य विज्ञापन और सुरंगें मोबाइल पैकेट और चार्ज का उपयोग करती हैं। फार्म में दर्जनों उपकरणों के लिए, यह महत्वपूर्ण धन है।
संबंधित खाते। मैलवेयर आदेश पर ऐप्स स्थापित करता है और डिवाइस का फ़िंगरप्रिंट इकट्ठा करता है। फार्म में, जहां प्रत्येक फोन को एक अलग व्यक्ति के रूप में दिखना चाहिए, सामान्य प्रबंधन सर्वर के साथ अतिरिक्त सॉफ़्टवेयर उपकरणों के बीच अनावश्यक संबंध बनाता है।
SMS और विशेष क्षमताओं तक पहुंच। सिस्टम मॉड्यूल एक्सेसिबिलिटी, सूचनाओं और SMS तक पहुंच के लिए अनुमतियाँ मांगता है और स्वयं को दे सकता है। उनके उपयोग के दौरान विश्लेषण में कोई समस्या नहीं देखी गई, लेकिन उस फोन पर, जो कार्यात्मक खातों के लिए पुष्टि कोड प्राप्त करता है, ऐसी अधिकार खतरनाक हैं।
रीसेट मदद नहीं करता। घटक सिस्टम विभाजन में है, इसलिए फैक्ट्री रिसेट फोन को उसी संक्रमित स्थिति में वापस लाता है।

अपने फोन की जांच कैसे करें: चेक-लिस्ट

Bitdefender सलाह देता है कि पैकेज नामों पर ध्यान न दें, बल्कि स्थिर कोर (libeasy.so, cn.kw.lib.hex, डोमेन api.weatherlive.world) पर ध्यान दें, क्योंकि नाम बदलते रहते हैं। एंटीवायरस स्कैनर के बिना यह कठिन है, लेकिन ADB के माध्यम से प्राथमिक छंटाई में एक फोन पर एक मिनट लगता है।

USB डिबगिंग सक्षम करें और फोन को adb के साथ कंप्यूटर से कनेक्ट करें।
संदिग्ध सिस्टम पैकेज खोजें:
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
सामान्य Android में ऐसे नाम नहीं होते। कोई भी मेल उपकरण को अलग करने का कारण है।
कवर ऐप्स खोजें:
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
संदिग्ध पैकेज के स्थापना स्रोत की जांच करें:
adb shell dumpsys package com.dmstudio.weather | grep -i installer
यदि वहां com.android.vending निर्दिष्ट है, और आपने ऐप स्थापित नहीं किया है, तो रिकॉर्ड फर्जी हो सकता है।
नेटवर्क कनेक्शनों को देखें। पोर्ट 6000 पर :1770 के रूप में हेक्साडेसिमल का संकेत देता है: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". यदि इन फ़ाइलों तक पहुंच बंद है, तो फार्म के राउटर पर कनेक्शन देखें।
उपयोगकर्ता के लिए घटक को अक्षम करने का प्रयास करें: adb shell pm disable-user --user 0 <पैकेज_नाम>. यह वही रास्ता है जिसके बारे में Bitdefender लिखता है। कुछ फर्मवेयर में सिस्टम पैकेज इस तरह अक्षम नहीं होते हैं, और यह सामान्य है। इसका मतलब है कि उपकरण को आधिकारिक साफ फर्मवेयर के साथ फ्लैश करना या इसे काम से बाहर करना आवश्यक है।
निर्माता से फर्मवेयर की जांच करें। यदि पैच जारी किया गया है, तो इसे स्थापित करें, और फिर चरण 2-5 को दोहराएं: मालिकों की रिपोर्ट के अनुसार, अपडेट कभी-कभी मैलवेयर को वापस लाता है।

नेटवर्क स्तर: फार्म के लिए आउटपुट बंद करें

यहां तक कि देखने में साफ फोन को सफेद सूची के साथ राउटर के पीछे रखना फायदेमंद है। केवल उन पोर्ट और दिशाओं की अनुमति दें जो वास्तव में आपके ऐप्स के लिए आवश्यक हैं: आवश्यक प्लेटफार्मों के लिए HTTPS और अपने रिसोल्वर के लिए DNS। बाकी सब कुछ प्रतिबंधित करें। पोर्ट 6000 पर आउटगोइंग TCP और Bitdefender की रिपोर्ट में डोमेन पर पहुंच सामान्य फार्म संचालन में नहीं मिलती है, ऐसी कोशिश को संक्रमण का संकेत माना जाना चाहिए। राउटर के लॉग एक दिन में दिखाएंगे कि कौन सा उपकरण वहां "कॉल" कर रहा है, जहां उसे नहीं होना चाहिए।

भविष्य के लिए खरीद नियम

बजट मूल्य पर "फ्लैगशिप" न खरीदें। S26 Ultra की कीमत का पांचवां हिस्सा लगभग निश्चित रूप से एक क्लोन है, और इस रिपोर्ट में क्लोन का उल्लेख सबसे अधिक बार किया गया है।
आधिकारिक विक्रेताओं से खरीदें और मॉडल को निर्माता की वेबसाइट से मिलाएं। यह जोखिम को कम करता है, लेकिन कोई गारंटी नहीं देता: Doogee और Cubot स्वयं आधिकारिक रूप से बेचे जाते हैं।
हर नए उपकरण की जांच करें फार्म में प्रवेश से पहले ऊपर दी गई चेक-लिस्ट के अनुसार। प्रवेश पर पांच मिनट खर्च करना बाद में पूरे फार्म में प्रतिबंधों से निपटने की तुलना में सस्ता है।
एक रजिस्टर बनाए रखें: मॉडल, फर्मवेयर संस्करण, जांच की तारीख। जब अगली रिपोर्ट किसी विशेष मॉडल के बारे में आएगी, तो आप एक मिनट में जान जाएंगे कि आपके पास कितने ऐसे उपकरण हैं।

और अगर फार्म मोबाइल IP के लिए आवश्यक है

कई लोग मल्टी-एकाउंटिंग या पार्सिंग के लिए केवल एक साफ मोबाइल पते के लिए फोन और मॉडेम रखते हैं। स्वनिर्मित निर्माण पूर्ण नियंत्रण देता है, और अपने हाथों से मोबाइल प्रॉक्सी पर सामग्री में हमने देखा कि यह कितना महंगा है। लेकिन नियंत्रण के साथ, आप हार्डवेयर की आपूर्ति श्रृंखला को भी अपने ऊपर लेते हैं। Midnight Mimosa दिखाता है कि सस्ते उपकरण के फर्मवेयर की जांच करना लगभग असंभव है। यदि फोन केवल नेटवर्क में जाने के लिए आवश्यक है, तो आपको हार्डवेयर रखने की आवश्यकता नहीं है और गिगाबाइट के लिए भुगतान करके मोबाइल प्रॉक्सी ले सकते हैं: रोटेशन और भूगोल को बिना उपकरणों की खरीद और फ्लैश किए बिना सेट किया जा सकता है। उन कार्यों के लिए, जहां मोबाइल नेटवर्क आवश्यक नहीं है, रिज़िडेंट एड्रेस उपलब्ध हैं।

निष्कर्ष

Midnight Mimosa पहले से ही सस्ते Android हार्डवेयर में प्रॉक्सी-मॉड्यूल के बारे में पहली कहानी नहीं है। 2026 में, ये टीवी सेट-टॉप बॉक्स, म्यूजिक सिस्टम थे, और अब स्मार्टफोन भी हैं। एक सामान्य सबक है: यदि उपकरण संदिग्ध रूप से सस्ता है, तो किसी ने फर्मवेयर में अपने तरीके से पैसे कमाने के लिए कुछ डाल दिया हो सकता है, और ऐसे तरीकों में से एक है आपका IP किसी और के ट्रैफिक के लिए बेचना। फोन फार्म के लिए इसका मतलब तीन बातें हैं: हर उपकरण की जांच करना, फार्म के लिए अनावश्यक नेटवर्क आउटपुट को बंद करना और यह स्पष्ट रूप से आकलन करना कि क्या आपको वास्तव में मोबाइल पते के लिए अपना हार्डवेयर चाहिए।