2026年10月8日、Bitdefender LabsはMidnight Mimosaキャンペーンの分析を発表しました。MediaTekチップを搭載した安価なAndroidスマートフォンが、ファームウェアのシステムセクションにマルウェアをプリインストールして出荷されます。 このコードは目に見えない広告を表示し、ユーザーの同意なしにアプリをインストールおよび削除し、そのモジュールの1つは電話を居住プロキシネットワークに登録します。研究者たちは、約2年間で150以上の国で数千台の感染デバイスを確認しました。通常の方法では感染を除去することはできません。
一般の消費者にとってこれは「疑わしいほど安価なGalaxyのクローンを買わないでください」という話です。マルチアカウント、SMM、アプリのテスト、または自作のモバイルプロキシ用の電話ファームを運営している人々にとっては、リスクがより具体的です。 安価なAndroidデバイスの大量購入が、まさにそのようなファームを作り出します。以下では、何が見つかったのか、それがファームにどのような脅威をもたらすのか、そして自分のデバイスをどのように確認するかを説明します。
Midnight Mimosaで見つかったもの
このキャンペーンは、BitdefenderのApp Anomaly Detectionシステムによって検出されました。システムアプリcom.android.system.liteが「System」という署名で、他のプログラムを静かにインストールおよび削除していることが懸念されました。さらに、それはファームウェアに組み込まれており、プラットフォーム証明書で署名されています。したがって、パッケージのインストールと削除、権限の付与、保護された設定の変更などのシステム権限を持っています。
このチェーンは複数の段階で構成されています：
- システムブートローダー（
com.android.system.liteおよび類似の名前：com.android.sys.prot、com.android.sys.gmsprot）には、ネイティブライブラリlibeasy.soがあります。これは、APKフレームワーク内に隠されたものを解読します。 - 隠されたフレームワークは、管理サーバーからプラグインをダウンロードし、リモートで受け取ったコードを実行します。
- プラグインは、広告詐欺、静かな「パートナー」アプリのインストール、および埋め込まれたWebViewを担当します。
- カバーアプリ：天気、アプリブロッカー、メモ、テキスト認識。Bitdefenderは約32のこのようなプログラムを確認しました。
悪意のあるソフトウェアは、静かなインストールの前にpm disable com.android.vendingを実行し、つまりGoogle Playを無効にし、その後再び有効にします。研究者たちは、これによりPlay Protectのチェックを妨げていると推測していますが、この効果は確認されていません。一部のサンプルは、インストール元の記録を偽造し、アプリがGoogle Playからダウンロードされたように見せかけます。
お金：目に見えない広告
主な収入源は広告詐欺から来ています。広告は他のアプリの上にウィンドウで表示され、電話がアイドル状態のときにも表示されます。これらのウィンドウは保護されたものとしてマークされているため、スクリーンショットや画面録画ではキャプチャされません。「クリック」の頻度はリモート設定によって決定され、クリックはプログラムで模倣されます。表示から60秒後に、偽の「コンバージョン」イベントが送信されます。収益は、実際の広告SDKを持つカバーアプリに流れます。
プロキシモジュール：電話を出口ノードとして使用
このテーマにおいて重要なのは、com.mobile.applock.enというアプリで、これは「Locket」と名乗っています。インターフェースや広告はなく、許可されているのはインターネットとネットワーク状態のみです。Bitdefenderによると、以下のことを行います：
- 管理サーバーとのポート6000で「生」のTCP接続を開きます。
- デバイスのフィンガープリンとを送信します：モデル、Androidバージョン、SDK、ビルドID、ブランド。
- サーバーから「ホスト、ポート」形式のアドレスリストと再ポーリング間隔を受け取ります。
- 各アドレスにトンネルを構築し、双方向で他のトラフィックを転送します。
言い換えれば、あなたのIPとSIMカードを介して他の誰かがインターネットに接続します。正直な注意点として、Bitdefenderは電話の登録を受け入れるインフラを確認しました。しかし、新しく登録されたテストデバイスはリレーのタスクを受け取らず、ライブで見られた管理サーバーは後にsinkholeに再分類されました。トラフィックのアクティブな転送はまだ証明されていません。ただし、メカニズムは準備が整っており、サーバーからの1つのコマンドで有効にできます。
どのデバイスが影響を受けるか
- チップセット：MediaTek。
- 名前のあるモデル：Doogee S200 XおよびCubot KINGKONG X。Cubotの所有者はXDAフォーラムで、削除後に戻ってくる隠れたパッケージ
com.android.sys.*について説明しました。ある報告によれば、公式のファームウェアアップデートがマルウェアを戻しました。 - フラッグシップの偽物：ファームウェアにはS25 Ultra、S26 Ultra、S24 Ultra、i17 Pro Maxなどの名前が含まれています。これは、AliExpressなどのマーケットプレイスで多く見られる安価なSamsungやAppleのクローンです。
- 地理：メキシコ、フランス、イタリアで最も多くの感染が発生し、次いでアメリカ、ドイツ、ブラジル、スペイン、そしてアフリカ、東南アジア、中東に長い尾があります。
一部のファームウェアはCN=ZED, L=ShenZhenという証明書で署名されており、Shenzhen Zedielに関連付けられています。研究者たちは、これは会社の関与を証明するものではないと明言しています。誰が、供給チェーンのどの段階でファームウェアを変更したのかは不明です。スペイン語のメディアによると、DoogeeとCubotはすでにパッチをリリースしましたが、コードがファームウェアにどのように入ったのかは説明していません。
さらに、BitdefenderはGoogle Playで13のアプリを見つけました。これらは同じ広告コードを使用しており、同じインフラにアクセスしますが、システム権限はありません。これらは少なくとも2つの開発者アカウント、fivedevおよびCPS Developerの下で公開されています。
なぜこれは電話ファームにとって問題なのか
これはすでに初めてのケースではありません。以前は、自動車のラジオに侵入したアップデーターやAndroidセットトップボックスで類似のチェーンが見つかりました。今、リストには一般的なスマートフォンが含まれており、これらはまさにバッチで購入されています。これがもたらすリスクは：
- あなたのIPでの他人のトラフィック。 プロキシモジュールがトラフィックを転送し始めると、あなたのモバイルIPがスパム、パスワードのブルートフォース、スクレイピングの近くのサイトのログに記録されます。プラットフォームのアンチフロードはアドレスの評判を評価し、ファームのアカウントは目に見えない理由でチェックや禁止を受け始めます。
- トラフィックとバッテリーの消費。 目に見えない広告とトンネルはモバイルパケットと充電を消費します。数十台のデバイスを持つファームでは、これは大きな金額です。
- 関連アカウント。 マルウェアはコマンドに従ってアプリをインストールし、デバイスのフィンガープリンとを収集します。ファームでは、各電話が別の人のように見える必要があるため、共通の管理サーバーを持つ余分なソフトウェアがデバイス間の不必要な関連を作り出します。
- SMSや特別な機能へのアクセス。 システムモジュールはAccessibility、通知およびSMSへのアクセスを要求し、自分自身にそれらを付与することができます。使用状況の分析中にはそれらの使用は確認されませんでしたが、作業アカウントの確認コードを受け取る電話では、そのような権限は危険です。
- リセットは効果がない。 コンポーネントはシステムセクションに存在するため、工場出荷時設定にリセットすると、電話は同じ感染状態に戻ります。
自分の電話を確認する方法：チェックリスト
Bitdefenderは、パッケージ名ではなく安定したコア（libeasy.so、cn.kw.lib.hex、ドメインapi.weatherlive.world）を基準にすることを推奨しています。なぜなら、名前が変更されるからです。ウイルス対策スキャナーなしでは難しいですが、ADBを使用した初期選別は電話で1分かかります。
- USBデバッグを有効にし、
adbを使用して電話をコンピュータに接続します。 - 疑わしいシステムパッケージを見つけます：
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
通常のAndroidにはそのような名前は含まれていません。いかなる一致もデバイスを隔離する理由になります。 - カバーアプリを探します：
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy" - 疑わしいパッケージのインストール元を確認します：
adb shell dumpsys package com.dmstudio.weather | grep -i installer
そこにcom.android.vendingが表示され、アプリをインストールしていない場合、記録は偽造されている可能性があります。 - ネットワーク接続を確認します。 ポート6000は、リモートアドレスの列に16進数
:1770を示します：adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770"。これらのファイルへのアクセスが制限されている場合は、ファームのルーターで接続を確認してください。 - コンポーネントをユーザーのために無効にすることを試みます：
adb shell pm disable-user --user 0 <パッケージ名>。これはBitdefenderが言及しているADB経由の方法です。一部のファームウェアではシステムパッケージがそのように無効にできないため、これは正常です。つまり、デバイスは公式のクリーンファームウェアで再フラッシュするか、運用から外す必要があります。 - メーカーのファームウェアを確認します。 パッチがリリースされている場合は、それをインストールし、次にステップ2〜5を繰り返します：所有者からの報告によると、アップデートがマルウェアを戻すことがあるためです。
ネットワークレベル：ファームの出口を閉じる
見た目がクリーンな電話でも、ホワイトリスト付きのルーターの背後に保管することが有益です。アプリに本当に必要なポートと方向のみを許可します：必要なプラットフォームへのHTTPSと自分のリゾルバーへのDNS。その他はすべて禁止します。ポート6000へのアウトバウンドTCPとBitdefenderの報告にあるドメインへのアクセスは、ファームの正常な動作では見られないため、そのような試みは感染の兆候と見なすべきです。ルーターのログは、どのデバイスが不適切な場所に「電話をかけている」かを示します。
将来の購入ルール
- 予算モデルの価格で「フラッグシップ」を購入しないでください。 S26 Ultraが価格の5分の1で販売されている場合、ほぼ確実にクローンです。このレポートでは、クローンが最も頻繁に言及されています。
- 公式の販売者から購入し、モデルをメーカーのサイトと照合してください。 これによりリスクが減りますが、保証はありません：DoogeeとCubotは公式に販売されています。
- 新しいデバイスはファームに入れる前に必ずチェックリストで確認してください。 入場時に5分かけることは、後でファーム全体の禁止に対処するよりも安上がりです。
- レジストリを維持します： モデル、ファームウェアのバージョン、確認日。次の特定のモデルに関するレポートが出たとき、あなたは1分でそのモデルが何台あるかを知ることができます。
もしファームがモバイルIPのために必要な場合
多くの人々がマルチアカウントやスクレイピングのために、クリーンなモバイルアドレスを得るためだけに電話やモデムを保持しています。自作の構成は完全なコントロールを提供し、自作のモバイルプロキシに関する資料では、そのコストを検討しました。しかし、コントロールを得ると同時に、ハードウェアの供給チェーンも引き受けることになります。Midnight Mimosaは、安価なデバイスのファームウェアを確認することがほぼ不可能であることを示しています。もし電話がネットワークへの出口としてのみ必要であれば、ハードウェアを保持する必要はなく、ギガバイト単位で支払うモバイルプロキシを利用することができます：ローテーションと地理の変更はデバイスの購入や再フラッシュなしで設定できます。モバイルネットワークが必須でないタスクには、居住アドレスがあります。
結論
Midnight Mimosaは、安価なAndroidハードウェアにおけるプロキシモジュールに関する最初の話ではありません。2026年には、TVボックスやラジオがあり、今ではスマートフォンも含まれています。共通の教訓があります：もしデバイスが疑わしいほど安価であれば、誰かがファームウェアに自分の収益化の方法を埋め込んでいる可能性があり、その方法の1つはあなたのIPを他のトラフィックに販売することです。電話ファームにとって、これは3つのことを意味します：各デバイスを入場時に確認し、ファームの余分なネットワーク出口を閉じ、モバイルアドレスのために自分のハードウェアが本当に必要かどうかを冷静に評価することです。