Midnight Mimosa: прокси-троян в прошивке дешёвых Android

8 октября 2026 года Bitdefender Labs опубликовала разбор кампании Midnight Mimosa: дешёвые Android-смартфоны на чипах MediaTek выходят с завода с вредоносным кодом прямо в системном разделе прошивки. Код показывает невидимую рекламу, ставит и удаляет приложения без спроса, а один из его модулей регистрирует телефон в сети резидентных прокси. Исследователи насчитали тысячи заражённых устройств в 150+ странах примерно за два года. Удалить заразу обычным способом нельзя.

Для обычного покупателя это история про «не берите подозрительно дешёвый клон Galaxy». Для тех, кто держит фермы телефонов под мультиаккаунтинг, SMM, тесты приложений или самодельные мобильные прокси, риск конкретнее. Оптовая закупка бюджетных Android-аппаратов как раз и создаёт такую ферму. Ниже разберём, что именно нашли, чем это грозит ферме и как проверить свои устройства.

Что нашли в Midnight Mimosa

Кампанию заметила система App Anomaly Detection от Bitdefender. Её насторожило системное приложение com.android.system.lite с подписью «System», которое тихо устанавливало и удаляло другие программы. Дальше выяснилось, что оно встроено в прошивку и подписано платформенным сертификатом. Поэтому у него системные права: установка и удаление пакетов, выдача разрешений, изменение защищённых настроек.

Цепочка устроена в несколько ступеней:

Системный загрузчик (com.android.system.lite и похожие имена: com.android.sys.prot, com.android.sys.gmsprot) с нативной библиотекой libeasy.so. Она расшифровывает спрятанный внутри APK-фреймворк.
Скрытый фреймворк скачивает с сервера управления плагины и выполняет код, полученный удалённо.
Плагины отвечают за рекламный фрод, тихую установку «партнёрских» приложений и встроенный WebView.
Приложения-прикрытия: погода, блокировщик приложений, заметки, распознавание текста. Bitdefender насчитала около 32 таких программ.

Перед каждой тихой установкой зловред выполняет pm disable com.android.vending, то есть отключает Google Play, а потом включает его обратно. Исследователи предполагают, что так он мешает проверке Play Protect, хотя этот эффект не подтверждён. Часть образцов вдобавок подделывает запись об источнике установки, и приложение выглядит скачанным из Google Play.

Деньги: невидимая реклама

Основной доход идёт от рекламного фрода. Объявления показываются в окнах поверх других приложений, в том числе когда телефон лежит без дела. Эти окна помечены как защищённые, поэтому скриншот или запись экрана их не захватывают. Частоту «кликов» задаёт удалённый конфиг, а клики имитируются программно. Через 60 секунд после показа отправляется фиктивное событие «конверсии». Выручка уходит приложениям-прикрытиям, у которых стоят настоящие рекламные SDK.

Прокси-модуль: телефон как выходной узел

Для нашей темы главное — приложение com.mobile.applock.en, которое называет себя «Locket». У него нет интерфейса и рекламы, а из разрешений только интернет и состояние сети. По данным Bitdefender, оно делает следующее:

открывает «сырое» TCP-соединение с сервером управления на порту 6000;
отправляет отпечаток устройства: модель, версию Android, SDK, build ID и бренд;
получает от сервера список адресов в формате «хост, порт» и интервал повторного опроса;
к каждому адресу строит туннель и в обе стороны пересылает через себя чужой трафик.

Иначе говоря, через ваш IP и SIM-карту в интернет выходит кто-то другой. Нужна честная оговорка: Bitdefender подтвердила, что инфраструктура принимает регистрацию телефонов. Но свежезарегистрированный тестовый аппарат заданий на ретрансляцию не получил, а сервер управления, который видели живым, потом переклассифицировали в sinkhole. Активная пересылка трафика пока не доказана. При этом механизм готов, и включить его можно одной командой с сервера.

Какие устройства под ударом

Чипсет: MediaTek.
Названные модели: Doogee S200 X и Cubot KINGKONG X. Владелец Cubot на форуме XDA описывал скрытый пакет com.android.sys.*, который возвращался после удаления. По одному сообщению, официальное обновление прошивки вернуло зловред обратно.
Подделки под флагманы: в прошивках встречаются названия S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max и подобные. Это дешёвые клоны Samsung и Apple, которых много на маркетплейсах вроде AliExpress.
География: больше всего заражений в Мексике, Франции и Италии, затем США, Германия, Бразилия, Испания, а дальше длинный хвост по Африке, Юго-Восточной Азии и Ближнему Востоку.

Часть прошивок подписана сертификатом CN=ZED, L=ShenZhen, который связывают с Shenzhen Zediel. Исследователи прямо оговаривают, что это не доказывает участие компании. Кто и на каком этапе цепочки поставок изменил прошивку, неизвестно. По данным испаноязычной прессы, Doogee и Cubot уже выпустили патчи, но не объяснили, как код попал в прошивку.

Отдельно Bitdefender нашла в Google Play 13 приложений с тем же рекламным кодом. Они обращаются к той же инфраструктуре, но системных прав у них нет. Опубликованы они под минимум двумя аккаунтами разработчиков, fivedev и CPS Developer.

Почему это проблема именно для фермы телефонов

Это уже не первый такой случай. Раньше похожие цепочки находили в автомобильных магнитолах с захваченным апдейтером и в Android-приставках. Теперь в списке обычные смартфоны, а их как раз закупают партиями. Чем это грозит:

Чужой трафик на вашем IP. Если прокси-модуль начнёт пересылать трафик, ваш мобильный IP окажется в логах сайтов рядом со спамом, перебором паролей и скрапингом. Антифрод площадок оценивает репутацию адреса, и аккаунты на ферме начнут ловить проверки и баны без видимой причины.
Расход трафика и батареи. Невидимая реклама и туннели тратят мобильный пакет и заряд. На ферме из десятков аппаратов это заметные деньги.
Связанные аккаунты. Зловред по команде ставит приложения и собирает отпечаток устройства. В ферме, где каждый телефон должен выглядеть отдельным человеком, лишний софт с общим сервером управления создаёт ненужную связь между аппаратами.
Доступ к SMS и спецвозможностям. Системный модуль заявляет разрешения на Accessibility, доступ к уведомлениям и SMS и может выдать их себе сам. Во время анализа их использования не заметили, но на телефоне, который принимает коды подтверждения для рабочих аккаунтов, такие права опасны.
Сброс не помогает. Компонент лежит в системном разделе, поэтому сброс к заводским настройкам возвращает телефон в то же заражённое состояние.

Как проверить свои телефоны: чек-лист

Bitdefender советует ориентироваться не на имена пакетов, а на стабильное ядро (libeasy.so, cn.kw.lib.hex, домен api.weatherlive.world), потому что имена меняются. Без антивирусного сканера это сложно, но первичный отсев через ADB занимает минуту на телефон.

Включите отладку по USB и подключите телефон к компьютеру с adb.
Найдите подозрительные системные пакеты:
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
Обычный Android таких имён не содержит. Любое совпадение повод изолировать аппарат.
Поищите приложения-прикрытия:
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
Проверьте источник установки подозрительного пакета:
adb shell dumpsys package com.dmstudio.weather | grep -i installer
Если там указан com.android.vending, а вы приложение не ставили, запись могла быть подделана.
Посмотрите сетевые соединения. На порт 6000 указывает шестнадцатеричное :1770 в колонке удалённого адреса: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Если доступ к этим файлам закрыт, смотрите соединения на роутере фермы.
Попробуйте отключить компонент для пользователя: adb shell pm disable-user --user 0 <имя_пакета>. Это тот самый путь через ADB, о котором пишет Bitdefender. На части прошивок системные пакеты так не отключаются, и это нормально. Значит, аппарат нужно перепрошивать официальной чистой прошивкой или выводить из работы.
Проверьте прошивку у производителя. Если вышел патч, ставьте его, а потом повторите шаги 2–5: по сообщениям владельцев, обновление иногда возвращало зловред.

Сетевой уровень: закройте ферме выход

Даже чистые на вид телефоны полезно держать за роутером с белым списком. Разрешите только порты и направления, которые реально нужны вашим приложениям: HTTPS к нужным площадкам и DNS к своему резолверу. Всё остальное запретите. Исходящий TCP на порт 6000 и обращения к доменам из отчёта Bitdefender в нормальной работе фермы не встречаются, такую попытку стоит считать признаком заражения. Логи роутера за сутки покажут, какой аппарат «звонит» туда, куда не должен.

Правила закупки на будущее

Не берите «флагман» по цене бюджетника. S26 Ultra за пятую часть цены почти наверняка клон, а клоны в этом отчёте упоминаются чаще всего.
Покупайте у официальных продавцов и сверяйте модель с сайтом производителя. Это снижает риск, но гарантии не даёт: Doogee и Cubot сами продаются официально.
Каждый новый аппарат проверяйте до ввода в ферму по чек-листу выше. Пять минут на входе обходятся дешевле, чем потом разбираться с банами по всей ферме.
Ведите реестр: модель, версия прошивки, дата проверки. Когда выйдет следующий отчёт про конкретную модель, вы за минуту узнаете, сколько таких аппаратов у вас стоит.

А если ферма нужна ради мобильного IP

Многие держат телефоны и модемы только ради чистого мобильного адреса для мультиаккаунтинга или парсинга. Самостоятельная сборка даёт полный контроль, и в материале про мобильные прокси своими руками мы разбирали, во что она обходится. Но вместе с контролем вы берёте на себя и цепочку поставок железа. Midnight Mimosa показывает, что прошивку дешёвого аппарата проверить почти невозможно. Если телефон вам нужен только как выход в сеть, можно не держать железо вовсе и взять мобильные прокси с оплатой за гигабайт: ротация и смена гео настраиваются без закупки и перепрошивки аппаратов. Для задач, где мобильная сеть не обязательна, есть резидентные адреса.

Вывод

Midnight Mimosa уже не первая история о прокси-модулях в дешёвом Android-железе. В 2026 году это были ТВ-приставки, магнитолы, а теперь и смартфоны. Есть общий урок: если аппарат стоит подозрительно дёшево, кто-то мог заложить в прошивку свой способ на нём зарабатывать, и один из таких способов — продать ваш IP под чужой трафик. Для фермы телефонов это значит три вещи: проверять каждый аппарат на входе, закрывать ферме лишний сетевой выход и трезво оценивать, нужно ли вам вообще своё железо ради мобильного адреса.