Midnight Mimosa: Ponsel Android Murah dengan Trojan Proksi di Firmware. Cara Memeriksa Farm

Pada 8 Oktober 2026, Bitdefender Labs menerbitkan analisis kampanye Midnight Mimosa: smartphone Android murah dengan chip MediaTek keluar dari pabrik dengan kode berbahaya langsung di bagian sistem firmware. Kode ini menampilkan iklan yang tidak terlihat, menginstal dan menghapus aplikasi tanpa izin, dan salah satu modulnya mendaftarkan telepon ke jaringan proxy residensial. Para peneliti mencatat ribuan perangkat terinfeksi di lebih dari 150 negara dalam waktu sekitar dua tahun. Menghapus infeksi dengan cara biasa tidak mungkin.

Bagi pembeli biasa, ini adalah cerita tentang "jangan membeli klon Galaxy yang mencurigakan murah." Bagi mereka yang menjalankan farm telepon untuk multi-akuntansi, SMM, pengujian aplikasi, atau proxy seluler buatan sendiri, risikonya lebih konkret. Pembelian grosir perangkat Android anggaran justru menciptakan farm semacam itu. Di bawah ini kita akan membahas apa yang ditemukan, apa risikonya bagi farm, dan bagaimana memeriksa perangkat Anda.

Apa yang Ditemukan di Midnight Mimosa

Kampanye ini terdeteksi oleh sistem App Anomaly Detection dari Bitdefender. Sistem ini mencurigai aplikasi sistem com.android.system.lite dengan tanda tangan "System", yang secara diam-diam menginstal dan menghapus program lain. Selanjutnya, terungkap bahwa aplikasi ini terintegrasi dalam firmware dan ditandatangani dengan sertifikat platform. Oleh karena itu, ia memiliki hak sistem: menginstal dan menghapus paket, memberikan izin, mengubah pengaturan yang dilindungi.

Rantai ini disusun dalam beberapa langkah:

• Bootloader sistem (com.android.system.lite dan nama serupa: com.android.sys.prot, com.android.sys.gmsprot) dengan pustaka asli libeasy.so. Ini mendekripsi kerangka yang tersembunyi di dalam APK.
• Kerangka tersembunyi mengunduh plugin dari server kontrol dan mengeksekusi kode yang diterima dari jarak jauh.
• Plugin bertanggung jawab atas penipuan iklan, instalasi diam-diam aplikasi "mitra", dan WebView yang terintegrasi.
• Aplikasi penutup: cuaca, pemblokir aplikasi, catatan, pengenalan teks. Bitdefender mencatat sekitar 32 program semacam itu.

Sebelum setiap instalasi diam-diam, malware menjalankan pm disable com.android.vending, yaitu menonaktifkan Google Play, lalu mengaktifkannya kembali. Para peneliti menduga bahwa ini mengganggu pemeriksaan Play Protect, meskipun efek ini belum terkonfirmasi. Beberapa sampel juga memalsukan catatan tentang sumber instalasi, sehingga aplikasi terlihat diunduh dari Google Play.

Uang: iklan yang tidak terlihat

Pendapatan utama berasal dari penipuan iklan. Iklan ditampilkan di jendela di atas aplikasi lain, termasuk ketika telepon tidak digunakan. Jendela ini ditandai sebagai terlindungi, sehingga tangkapan layar atau perekaman layar tidak menangkapnya. Frekuensi "klik" ditentukan oleh konfigurasi jarak jauh, dan klik tersebut disimulasikan secara perangkat lunak. Setelah 60 detik setelah ditampilkan, sebuah peristiwa "konversi" palsu dikirim. Pendapatan tersebut masuk ke aplikasi penutup yang memiliki SDK iklan yang sah.

Modul proxy: telepon sebagai node keluar

Untuk topik kita, yang terpenting adalah aplikasi com.mobile.applock.en, yang menyebut dirinya "Locket". Aplikasi ini tidak memiliki antarmuka dan iklan, dan hanya memiliki izin internet dan status jaringan. Menurut Bitdefender, aplikasi ini melakukan hal berikut:

1. membuka koneksi TCP "mentah" dengan server kontrol di port 6000;
2. mengirimkan sidik jari perangkat: model, versi Android, SDK, build ID, dan merek;
3. mendapatkan daftar alamat dari server dalam format "host, port" dan interval polling ulang;
4. membangun terowongan ke setiap alamat dan meneruskan lalu lintas orang lain melalui dirinya sendiri.

Dengan kata lain, melalui IP dan SIM Anda, seseorang yang lain terhubung ke internet. Perlu dicatat bahwa Bitdefender mengonfirmasi bahwa infrastruktur menerima pendaftaran telepon. Namun, perangkat uji yang baru terdaftar tidak menerima tugas untuk meneruskan, dan server kontrol yang terlihat aktif kemudian diklasifikasikan ulang sebagai sinkhole. Pengalihan lalu lintas aktif belum terbukti. Namun, mekanismenya sudah siap, dan bisa diaktifkan dengan satu perintah dari server.

Perangkat mana yang terancam

• Chipset: MediaTek.
• Model yang disebut: Doogee S200 X dan Cubot KINGKONG X. Pemilik Cubot di forum XDA menggambarkan paket tersembunyi com.android.sys.*, yang kembali setelah dihapus. Menurut satu laporan, pembaruan resmi firmware mengembalikan malware tersebut.
• Replika flagship: di firmware terdapat nama S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max, dan sejenisnya. Ini adalah klon murah dari Samsung dan Apple, yang banyak terdapat di marketplace seperti AliExpress.
• Geografi: infeksi paling banyak terjadi di Meksiko, Prancis, dan Italia, diikuti oleh AS, Jerman, Brasil, Spanyol, dan kemudian ekor panjang di Afrika, Asia Tenggara, dan Timur Tengah.

Beberapa firmware ditandatangani dengan sertifikat CN=ZED, L=ShenZhen, yang dikaitkan dengan Shenzhen Zediel. Para peneliti secara langsung menyatakan bahwa ini tidak membuktikan keterlibatan perusahaan. Siapa dan pada tahap mana dalam rantai pasokan yang mengubah firmware, tidak diketahui. Menurut media berbahasa Spanyol, Doogee dan Cubot telah merilis patch, tetapi tidak menjelaskan bagaimana kode tersebut masuk ke firmware.

Secara terpisah, Bitdefender menemukan di Google Play 13 aplikasi dengan kode iklan yang sama. Mereka mengakses infrastruktur yang sama, tetapi tidak memiliki hak sistem. Mereka diterbitkan di bawah setidaknya dua akun pengembang, fivedev dan CPS Developer.

Kenapa ini menjadi masalah khusus untuk farm telepon

Ini bukanlah kasus pertama seperti ini. Sebelumnya, rantai serupa ditemukan di head unit mobil dengan updater yang terinfeksi dan di set-top box Android. Sekarang dalam daftar adalah smartphone biasa, dan mereka dibeli dalam jumlah besar. Apa risikonya:

• Lalu lintas orang lain di IP Anda. Jika modul proxy mulai meneruskan lalu lintas, IP seluler Anda akan muncul di log situs bersamaan dengan spam, percobaan kata sandi, dan scraping. Platform anti-fraud menilai reputasi alamat, dan akun di farm akan mulai menerima pemeriksaan dan larangan tanpa alasan yang jelas.
• Penggunaan data dan baterai. Iklan yang tidak terlihat dan terowongan menghabiskan paket seluler dan daya. Di farm dengan puluhan perangkat, ini adalah uang yang signifikan.
• Akun terkait. Malware dapat menginstal aplikasi dan mengumpulkan sidik jari perangkat berdasarkan perintah. Di farm, di mana setiap telepon harus terlihat sebagai individu yang terpisah, perangkat lunak tambahan dengan server kontrol yang sama menciptakan hubungan yang tidak perlu antara perangkat.
• Akses ke SMS dan kemampuan khusus. Modul sistem meminta izin untuk Aksesibilitas, akses ke notifikasi dan SMS, dan dapat memberikan izin tersebut kepada dirinya sendiri. Selama analisis, penggunaannya tidak terdeteksi, tetapi pada telepon yang menerima kode konfirmasi untuk akun kerja, izin semacam itu berbahaya.
• Reset tidak membantu. Komponen ini terletak di bagian sistem, sehingga reset ke pengaturan pabrik mengembalikan telepon ke keadaan terinfeksi yang sama.

Bagaimana memeriksa telepon Anda: daftar periksa

Bitdefender menyarankan untuk tidak hanya mengandalkan nama paket, tetapi pada inti yang stabil (libeasy.so, cn.kw.lib.hex, domain api.weatherlive.world), karena nama-nama tersebut dapat berubah. Tanpa pemindai antivirus, ini sulit, tetapi penyaringan awal melalui ADB memakan waktu satu menit per telepon.

1. Aktifkan debugging USB dan sambungkan telepon ke komputer dengan adb.
2. Cari paket sistem yang mencurigakan:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Android biasa tidak memiliki nama-nama seperti itu. Setiap kecocokan adalah alasan untuk mengisolasi perangkat.
3. Cari aplikasi penutup:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Periksa sumber instalasi paket mencurigakan:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Jika tertera com.android.vending, dan Anda tidak menginstal aplikasi tersebut, catatan tersebut mungkin telah dipalsukan.
5. Lihat koneksi jaringan. Port 6000 menunjukkan heksadesimal :1770 di kolom alamat jarak jauh: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Jika akses ke file-file ini ditutup, lihat koneksi di router farm.
6. Coba nonaktifkan komponen untuk pengguna: adb shell pm disable-user --user 0 <nama_paket>. Ini adalah jalur melalui ADB yang disebutkan oleh Bitdefender. Di beberapa firmware, paket sistem tidak dapat dinonaktifkan dengan cara ini, dan itu normal. Artinya, perangkat perlu di-flash dengan firmware resmi yang bersih atau dinonaktifkan.
7. Periksa firmware dari produsen. Jika patch telah dirilis, pasang, lalu ulangi langkah 2–5: menurut laporan pemilik, pembaruan terkadang mengembalikan malware.

Tingkat jaringan: tutup akses farm

Bahkan telepon yang tampak bersih sebaiknya tetap berada di belakang router dengan daftar putih. Izinkan hanya port dan arah yang benar-benar diperlukan oleh aplikasi Anda: HTTPS ke situs yang diperlukan dan DNS ke resolver Anda sendiri. Larang semua yang lainnya. TCP keluar ke port 6000 dan permintaan ke domain dari laporan Bitdefender tidak muncul dalam operasi normal farm, upaya semacam itu harus dianggap sebagai tanda infeksi. Log router selama satu hari akan menunjukkan perangkat mana yang "menghubungi" tempat yang tidak seharusnya.

Aturan pembelian untuk masa depan

• Jangan beli "flagship" dengan harga budget. S26 Ultra dengan harga sepertiga dari harga aslinya hampir pasti adalah klon, dan klon disebutkan paling sering dalam laporan ini.
• Beli dari penjual resmi dan cocokkan model dengan situs produsen. Ini mengurangi risiko, tetapi tidak menjamin: Doogee dan Cubot juga dijual secara resmi.
• Periksa setiap perangkat baru sebelum memasukkannya ke dalam farm menggunakan daftar periksa di atas. Lima menit di awal lebih murah daripada harus mengatasi larangan di seluruh farm nanti.
• Jaga catatan: model, versi firmware, tanggal pemeriksaan. Ketika laporan berikutnya tentang model tertentu dirilis, Anda akan tahu dalam satu menit berapa banyak perangkat tersebut yang Anda miliki.

Dan jika farm diperlukan untuk IP seluler

Banyak orang menyimpan telepon dan modem hanya untuk mendapatkan alamat seluler bersih untuk multi-akuntansi atau parsing. Pembuatan sendiri memberikan kontrol penuh, dan dalam materi tentang proxy seluler buatan sendiri kami membahas biaya yang terlibat. Namun, bersama dengan kontrol, Anda juga mengambil alih rantai pasokan perangkat keras. Midnight Mimosa menunjukkan bahwa memeriksa firmware perangkat murah hampir tidak mungkin. Jika telepon hanya diperlukan sebagai akses ke jaringan, Anda tidak perlu memiliki perangkat keras sama sekali dan bisa menggunakan proxy seluler dengan pembayaran per gigabyte: rotasi dan perubahan geo dapat diatur tanpa membeli dan mem-flash perangkat. Untuk tugas di mana jaringan seluler tidak wajib, ada alamat residensial.

Kesimpulan

Midnight Mimosa bukanlah cerita pertama tentang modul proxy di perangkat Android murah. Pada tahun 2026, ini adalah set-top box, head unit mobil, dan sekarang smartphone. Ada pelajaran umum: jika perangkat harganya mencurigakan murah, seseorang mungkin telah menyisipkan cara untuk mendapatkan keuntungan dari firmware, dan salah satu cara tersebut adalah menjual IP Anda untuk lalu lintas orang lain. Bagi farm telepon, ini berarti tiga hal: memeriksa setiap perangkat saat masuk, menutup akses jaringan yang tidak perlu bagi farm, dan secara realistis mengevaluasi apakah Anda benar-benar memerlukan perangkat keras Anda sendiri untuk alamat seluler.