2026년 10월 8일 Bitdefender Labs는 Midnight Mimosa 캠페인에 대한 분석을 발표했습니다: 저렴한 Android 스마트폰이 MediaTek 칩을 탑재하고 공장에서 악성 코드가 포함된 상태로 출고됩니다. 이 코드는 보이지 않는 광고를 표시하고, 사용자 동의 없이 앱을 설치 및 삭제하며, 그 모듈 중 하나는 전화기를 주거용 프록시 네트워크에 등록합니다. 연구자들은 약 2년 동안 150개 이상의 국가에서 수천 대의 감염된 장치를 발견했습니다. 일반적인 방법으로는 감염을 제거할 수 없습니다.
일반 소비자에게는 "의심스럽게 저렴한 Galaxy 클론을 사지 마세요"라는 이야기입니다. 전화기 농장을 운영하는 사람들에게는 위험이 더 구체적입니다. 저렴한 Android 기기를 대량 구매하는 것이 바로 그런 농장을 만드는 것입니다. 아래에서는 무엇을 발견했는지, 그것이 농장에 어떤 위협이 되는지, 그리고 자신의 장치를 어떻게 확인할 수 있는지 알아보겠습니다.
Midnight Mimosa에서 발견된 것
Bitdefender의 App Anomaly Detection 시스템이 이 캠페인을 감지했습니다. 시스템 애플리케이션 com.android.system.lite가 "System"이라는 서명을 가지고 조용히 다른 프로그램을 설치하고 삭제하는 것이 의심스러웠습니다. 이후 이 애플리케이션이 펌웨어에 내장되어 있으며 플랫폼 인증서로 서명되어 있다는 것이 밝혀졌습니다. 따라서 시스템 권한이 있어 패키지 설치 및 삭제, 권한 부여, 보호된 설정 변경이 가능합니다.
체인은 여러 단계로 구성되어 있습니다:
- 시스템 부트로더 (
com.android.system.lite및 유사 이름:com.android.sys.prot,com.android.sys.gmsprot)와 네이티브 라이브러리libeasy.so. 이 라이브러리는 APK 프레임워크 내에 숨겨진 내용을 해독합니다. - 숨겨진 프레임워크는 관리 서버에서 플러그인을 다운로드하고 원격으로 받은 코드를 실행합니다.
- 플러그인은 광고 사기, "파트너" 애플리케이션의 조용한 설치 및 내장된 WebView를 담당합니다.
- 커버 애플리케이션: 날씨, 애플리케이션 차단기, 메모, 텍스트 인식. Bitdefender는 약 32개의 이러한 프로그램을 발견했습니다.
각 조용한 설치 전에 악성 코드는 pm disable com.android.vending를 실행하여 Google Play를 비활성화한 후 다시 활성화합니다. 연구자들은 이것이 Play Protect 검사를 방해한다고 추측하지만, 이 효과는 확인되지 않았습니다. 일부 샘플은 설치 출처에 대한 기록을 위조하여 애플리케이션이 Google Play에서 다운로드된 것처럼 보이게 합니다.
수익: 보이지 않는 광고
주요 수익은 광고 사기에서 발생합니다. 광고는 다른 애플리케이션 위에 창으로 표시되며, 전화기가 사용되지 않을 때도 표시됩니다. 이러한 창은 보호된 것으로 표시되어 스크린샷이나 화면 녹화로 캡처되지 않습니다. 클릭 빈도는 원격 구성에 의해 설정되며, 클릭은 프로그램적으로 모방됩니다. 표시된 후 60초 후에 가짜 "전환" 이벤트가 전송됩니다. 수익은 실제 광고 SDK가 설치된 커버 애플리케이션으로 이동합니다.
프록시 모듈: 전화기를 종단 노드로
우리 주제에서 중요한 것은 com.mobile.applock.en이라는 애플리케이션으로, "Locket"이라고 자칭합니다. 이 애플리케이션은 인터페이스나 광고가 없으며, 권한은 인터넷과 네트워크 상태만 있습니다. Bitdefender에 따르면, 이 애플리케이션은 다음과 같은 작업을 수행합니다:
- 관리 서버와 포트 6000에서 "원시" TCP 연결을 엽니다;
- 장치의 지문을 전송합니다: 모델, Android 버전, SDK, 빌드 ID 및 브랜드;
- 서버에서 "호스트, 포트" 형식의 주소 목록과 재질문 간격을 받습니다;
- 각 주소에 대해 터널을 구축하고 양방향으로 타인의 트래픽을 전달합니다.
다시 말해, 귀하의 IP와 SIM 카드로 인터넷에 다른 사람이 접속합니다. 정직한 경고가 필요합니다: Bitdefender는 인프라가 전화기의 등록을 수락한다고 확인했습니다. 그러나 새로 등록된 테스트 장치는 리턴 작업을 위한 지시를 받지 않았으며, 생존하는 것으로 보였던 관리 서버는 나중에 sinkhole로 재분류되었습니다. 현재 트래픽 전송이 활성화되었다는 증거는 없습니다. 그러나 메커니즘은 준비되어 있으며, 서버에서 한 명령으로 활성화할 수 있습니다.
어떤 장치가 위험에 처해 있는가
- 칩셋: MediaTek.
- 지명된 모델: Doogee S200 X 및 Cubot KINGKONG X. Cubot의 소유자는 XDA 포럼에서 삭제 후 복원된 숨겨진 패키지
com.android.sys.*에 대해 설명했습니다. 한 보고서에 따르면, 공식 펌웨어 업데이트가 악성 코드를 다시 복원했습니다. - 플래그십 클론: 펌웨어에서 S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max와 같은 이름이 발견됩니다. 이는 저렴한 Samsung 및 Apple 클론으로, AliExpress와 같은 마켓플레이스에서 많이 판매됩니다.
- 지리: 멕시코, 프랑스, 이탈리아에서 가장 많은 감염이 발생하며, 그 다음으로 미국, 독일, 브라질, 스페인, 그리고 아프리카, 동남아시아 및 중동에 걸쳐 긴 꼬리가 이어집니다.
일부 펌웨어는 CN=ZED, L=ShenZhen 인증서로 서명되어 있으며, 이는 Shenzhen Zediel과 관련이 있습니다. 연구자들은 이것이 회사의 참여를 증명하지 않는다고 명시합니다. 누가 공급망의 어느 단계에서 펌웨어를 변경했는지는 알 수 없습니다. 스페인어 언론에 따르면, Doogee와 Cubot은 이미 패치를 출시했지만 코드가 펌웨어에 어떻게 포함되었는지 설명하지 않았습니다.
Bitdefender는 Google Play에서 13개의 애플리케이션을 발견했으며, 이들은 동일한 광고 코드를 사용합니다. 이들은 동일한 인프라에 접근하지만 시스템 권한은 없습니다. 최소 두 개의 개발자 계정인 fivedev와 CPS Developer 아래에 게시되었습니다.
왜 이것이 전화기 농장에 문제인가
이것은 이미 첫 번째 사례가 아닙니다. 이전에 유사한 체인이 자동차 오디오 시스템에서 업데이트를 장악한 경우와 Android 셋톱 박스에서 발견되었습니다. 이제 일반 스마트폰이 목록에 올라왔으며, 이들은 대량으로 구매됩니다. 이것이 의미하는 바는:
- 귀하의 IP에서 타인의 트래픽. 프록시 모듈이 트래픽을 전달하기 시작하면 귀하의 모바일 IP가 스팸, 비밀번호 크래킹 및 스크래핑과 함께 사이트 로그에 기록됩니다. 플랫폼의 안티프로드 시스템은 주소의 평판을 평가하며, 농장의 계정은 명백한 이유 없이 검증 및 차단을 받을 수 있습니다.
- 트래픽 및 배터리 소모. 보이지 않는 광고와 터널이 모바일 데이터 및 전력을 소모합니다. 농장에서 수십 대의 장치가 있을 경우 이는 상당한 비용이 됩니다.
- 연관된 계정. 악성 코드는 지시를 받아 애플리케이션을 설치하고 장치의 지문을 수집합니다. 각 전화기가 별도의 사람처럼 보여야 하는 농장에서, 공통 관리 서버와의 불필요한 연결을 생성하는 추가 소프트웨어는 문제를 일으킵니다.
- SMS 및 특수 기능에 대한 접근. 시스템 모듈은 접근성, 알림 및 SMS에 대한 권한을 요청하며 스스로 이를 부여할 수 있습니다. 사용 중인 권한은 분석 중에 발견되지 않았지만, 작업 계정의 확인 코드를 수신하는 전화기에서 이러한 권한은 위험할 수 있습니다.
- 재설정이 도움이 되지 않음. 구성 요소는 시스템 파티션에 위치하므로 공장 초기화는 전화기를 동일한 감염 상태로 되돌립니다.
전화기를 확인하는 방법: 체크리스트
Bitdefender는 패키지 이름이 아니라 안정적인 커널(libeasy.so, cn.kw.lib.hex, 도메인 api.weatherlive.world)을 기준으로 삼을 것을 권장합니다. 이름이 변경되기 때문입니다. 안티바이러스 스캐너 없이 확인하기는 어렵지만, ADB를 통해 초기 필터링은 전화기에서 1분 정도 걸립니다.
- USB 디버깅을 활성화하고 전화기를
adb가 설치된 컴퓨터에 연결합니다. - 의심스러운 시스템 패키지 찾기:
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
일반 Android에는 이러한 이름이 포함되어 있지 않습니다. 일치하는 경우 장치를 격리할 이유가 있습니다. - 커버 애플리케이션 검색:
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy" - 의심스러운 패키지의 설치 출처 확인:
adb shell dumpsys package com.dmstudio.weather | grep -i installer
여기에com.android.vending가 표시되면, 애플리케이션을 설치하지 않았다면 기록이 위조되었을 수 있습니다. - 네트워크 연결 확인. 포트 6000은 원격 주소 열에서 16진수
:1770로 표시됩니다:adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". 이러한 파일에 대한 접근이 차단된 경우, 농장 라우터에서 연결을 확인하십시오. - 구성 요소를 사용자에 대해 비활성화 시도:
adb shell pm disable-user --user 0 <패키지_이름>. 이것은 Bitdefender가 언급한 ADB를 통한 경로입니다. 일부 펌웨어에서는 시스템 패키지가 그렇게 비활성화되지 않으며, 이는 정상입니다. 즉, 장치는 공식 클린 펌웨어로 재플래시하거나 사용 중지해야 합니다. - 제조업체에서 펌웨어 확인. 패치가 출시되면 설치하고, 그 후 2-5단계를 반복하십시오: 소유자들의 보고에 따르면, 업데이트가 때때로 악성 코드를 다시 복원했습니다.
네트워크 수준: 농장의 출구를 차단하십시오
겉보기에는 깨끗한 전화기도 화이트리스트가 있는 라우터 뒤에 두는 것이 유용합니다. 실제로 필요한 애플리케이션에만 포트와 방향을 허용하십시오: 필요한 사이트에 대한 HTTPS와 자신의 리졸버에 대한 DNS. 나머지는 모두 차단하십시오. 포트 6000으로의 아웃바운드 TCP와 Bitdefender 보고서의 도메인에 대한 요청은 정상적인 농장 운영에서 발견되지 않으며, 이러한 시도는 감염의 징후로 간주해야 합니다. 라우터의 로그는 하루 동안 어떤 장치가 허용되지 않은 곳에 "전화"하는지를 보여줄 것입니다.
미래 구매 규칙
- 예산 가격으로 "플래그십"을 구매하지 마십시오. S26 Ultra가 가격의 5분의 1에 판매된다면 거의 확실히 클론이며, 이 보고서에서 클론이 가장 많이 언급됩니다.
- 공식 판매자로부터 구매하고 모델을 제조업체 웹사이트와 대조하십시오. 이는 위험을 줄이지만 보장을 제공하지는 않습니다: Doogee와 Cubot은 공식적으로 판매됩니다.
- 각 새로운 장치는 농장에 투입하기 전에 위의 체크리스트에 따라 확인하십시오. 입구에서 5분이 나중에 농장 전체의 차단 문제를 해결하는 것보다 저렴합니다.
- 레지스터를 유지하십시오: 모델, 펌웨어 버전, 확인 날짜. 특정 모델에 대한 다음 보고서가 나오면, 1분 안에 얼마나 많은 그런 장치가 있는지 알 수 있습니다.
농장이 모바일 IP를 위해 필요한 경우
많은 사람들이 멀티 계정 관리나 파싱을 위해 순수한 모바일 주소를 얻기 위해 전화기와 모뎀을 보유하고 있습니다. 자체 조립은 완전한 제어를 제공하며, 자체 모바일 프록시에 대한 자료에서 그 비용을 분석했습니다. 그러나 제어와 함께 하드웨어 공급망의 책임도 지게 됩니다. Midnight Mimosa는 저렴한 장치의 펌웨어를 확인하는 것이 거의 불가능하다는 것을 보여줍니다. 전화기가 단지 인터넷에 접속하기 위한 것이라면, 하드웨어를 보유할 필요 없이 기가바이트당 지불하는 모바일 프록시를 이용할 수 있습니다: 회전 및 지리적 변경은 장치를 구매하거나 재플래시하지 않고도 설정할 수 있습니다. 모바일 네트워크가 필수가 아닌 작업에는 주거 주소가 있습니다.
결론
Midnight Mimosa는 저렴한 Android 하드웨어에서 프록시 모듈에 대한 첫 번째 이야기가 아닙니다. 2026년에는 TV 셋톱 박스와 오디오 시스템이 있었고, 이제는 스마트폰입니다. 공통적인 교훈이 있습니다: 장치가 의심스럽게 저렴하다면, 누군가가 펌웨어에 자신의 수익 창출 방법을 심었을 수 있으며, 그 방법 중 하나는 귀하의 IP를 타인의 트래픽에 판매하는 것입니다. 전화기 농장에 대해 이것은 세 가지를 의미합니다: 각 장치를 입구에서 확인하고, 농장의 불필요한 네트워크 출구를 차단하며, 모바일 주소를 위해 자신의 하드웨어가 정말로 필요한지 냉정하게 평가해야 합니다.