Midnight Mimosa: ucuz Android yazılımında proxy truva atı

8 Ekim 2026'da Bitdefender Labs, Midnight Mimosa kampanyasının analizini yayınladı: ucuz Android akıllı telefonlar, MediaTek yongaları ile fabrikadan zararlı kodla birlikte çıkıyor ve bu kod doğrudan firmware sistem bölümünde yer alıyor. Kod, görünmeyen reklamlar gösteriyor, uygulamaları izinsiz yüklüyor ve kaldırıyor, ayrıca modüllerinden biri telefonun ağda yerel proxy'lere kaydolmasını sağlıyor. Araştırmacılar, yaklaşık iki yıl içinde 150'den fazla ülkede binlerce enfekte cihaz tespit etti. Zararı normal yollarla temizlemek mümkün değil.

Bu, sıradan bir alıcı için "şüpheli derecede ucuz Galaxy klonları almayın" hikayesi. Ancak telefon çiftlikleri yönetenler için, SMM, uygulama testleri veya kendi mobil proxy'leri için risk daha somut. Ucuz Android cihazların toptan alımı tam da böyle bir çiftlik oluşturuyor. Aşağıda, ne bulduklarını, bunun çiftlik için ne anlama geldiğini ve cihazlarınızı nasıl kontrol edeceğinizi inceleyeceğiz.

Midnight Mimosa'da Ne Bulundu

Kampanya, Bitdefender'ın App Anomaly Detection sistemi tarafından fark edildi. Sistem uygulaması com.android.system.lite "Sistem" imzası ile birlikte, diğer programları sessizce yükleyip kaldırıyordu. Daha sonra bunun firmware'e gömülü olduğu ve platform sertifikası ile imzalandığı anlaşıldı. Bu nedenle sistem haklarına sahip: paket yükleme ve kaldırma, izin verme, korunan ayarları değiştirme.

Zincir birkaç aşamadan oluşuyor:

Sistem önyükleyici (com.android.system.lite ve benzeri isimler: com.android.sys.prot, com.android.sys.gmsprot) ile yerel kütüphane libeasy.so. Bu, APK çerçevesinin içinde gizlenmiş olanı çözüyor.
Gizli çerçeve, yönetim sunucusundan eklentileri indiriyor ve uzaktan alınan kodu çalıştırıyor.
Eklentiler, reklam dolandırıcılığı, "ortak" uygulamaların sessizce yüklenmesi ve yerleşik WebView'den sorumlu.
Kaplama uygulamaları: hava durumu, uygulama engelleyici, notlar, metin tanıma. Bitdefender, yaklaşık 32 böyle program tespit etti.

Her sessiz yüklemeden önce, zararlı pm disable com.android.vending komutunu çalıştırıyor, yani Google Play'i devre dışı bırakıyor ve sonra tekrar açıyor. Araştırmacılar, bunun Play Protect kontrolünü engellediğini düşünüyor, ancak bu etkinin doğruluğu onaylanmamış. Bazı örnekler ayrıca yükleme kaynağını taklit ediyor ve uygulama, Google Play'den indirilmiş gibi görünüyor.

Para: Görünmeyen Reklam

Temel gelir, reklam dolandırıcılığından geliyor. Reklamlar, diğer uygulamaların üzerine açılan pencerelerde gösteriliyor, telefon boşta kaldığında bile. Bu pencereler korumalı olarak işaretleniyor, bu nedenle ekran görüntüsü veya kayıt, bunları yakalamıyor. "Tıklama" sıklığı uzaktan yapılandırılıyor ve tıklamalar yazılımsal olarak taklit ediliyor. Gösterimden 60 saniye sonra sahte bir "dönüşüm" olayı gönderiliyor. Gelir, gerçek reklam SDK'ları olan kaplama uygulamalarına gidiyor.

Proxy Modülü: Telefon Çıkış Düğümü Olarak

Bizim konumuz için önemli olan uygulama com.mobile.applock.en, kendisini "Locket" olarak adlandırıyor. Arayüzü ve reklamı yok, izinleri sadece internet ve ağ durumu. Bitdefender'a göre, şu işlemleri gerçekleştiriyor:

Yönetim sunucusuyla 6000 portunda "ham" TCP bağlantısı açıyor;
Cihazın parmak izini gönderiyor: model, Android versiyonu, SDK, build ID ve marka;
Sunucudan "host, port" formatında adres listesi ve yeniden sorgulama aralığı alıyor;
Her adrese bir tünel kuruyor ve iki yönlü olarak başkalarının trafiğini aktarıyor.

Başka bir deyişle, sizin IP'niz ve SIM kartınız üzerinden internete başka biri çıkıyor. Dürüst bir açıklama yapmak gerekirse: Bitdefender, telefonların kaydını almayı doğruladı. Ancak yeni kaydedilen test cihazı, iletim görevleri almadı ve canlı görülen yönetim sunucusu daha sonra sinkhole olarak yeniden sınıflandırıldı. Aktif trafik iletimi henüz kanıtlanmadı. Ancak mekanizma hazır ve sunucudan bir komutla etkinleştirilebilir.

Hangi Cihazlar Tehdit Altında

Yonga seti: MediaTek.
Belirtilen modeller: Doogee S200 X ve Cubot KINGKONG X. Cubot'un sahibi XDA forumunda com.android.sys.* adlı gizli paketi tanımladı, bu paket silindikten sonra geri döndü. Bir rapora göre, resmi firmware güncellemesi zararlıyı geri getirdi.
Amiral gemisi taklitleri: firmware'lerde S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max gibi isimler bulunuyor. Bunlar, AliExpress gibi pazar yerlerinde bolca bulunan ucuz Samsung ve Apple klonları.
Coğrafya: En çok enfeksiyon Meksika, Fransa ve İtalya'da, ardından ABD, Almanya, Brezilya, İspanya ve ardından Afrika, Güneydoğu Asya ve Orta Doğu boyunca uzun bir kuyruk var.

Bazı firmware'ler CN=ZED, L=ShenZhen sertifikası ile imzalanmış, bu sertifika Shenzhen Zediel ile ilişkilendiriliyor. Araştırmacılar, bunun şirketin katılımını kanıtlamadığını açıkça belirtiyor. Firmware'i tedarik zincirinin hangi aşamasında kimin değiştirdiği bilinmiyor. İspanyolca basına göre, Doogee ve Cubot zaten yamalar yayınladı, ancak kodun firmware'e nasıl girdiğini açıklamadı.

Ayrıca Bitdefender, Google Play'de aynı reklam koduna sahip 13 uygulama buldu. Bunlar aynı altyapıya başvuruyor, ancak sistem haklarına sahip değiller. En az iki geliştirici hesabı altında yayınlandılar: fivedev ve CPS Developer.

Bu Neden Telefon Çiftliği İçin Bir Sorun

Bu, böyle bir durumun ilk örneği değil. Daha önce benzer zincirler ele geçirilmiş güncelleyiciye sahip otomobil müzik sistemlerinde ve Android set üstü kutularında bulunmuştu. Şimdi sırada sıradan akıllı telefonlar var ve bunlar topluca satın alınıyor. Bunun getirdiği riskler:

Başka birinin trafiği sizin IP'nizde. Eğer proxy modülü trafiği iletmeye başlarsa, mobil IP'niz spam, şifre denemeleri ve veri kazıma ile birlikte sitelerin loglarında yer alacak. Platformların anti-dolandırıcılık sistemleri adresin itibarını değerlendiriyor ve çiftlikteki hesaplar görünür bir sebep olmadan kontroller ve yasaklar almaya başlayacak.
Veri ve pil tüketimi. Görünmeyen reklamlar ve tüneller mobil paketi ve şarjı tüketiyor. Onlarca cihazdan oluşan bir çiftlikte bu önemli bir maliyet.
Bağlantılı hesaplar. Zararlı, komutla uygulamaları yükler ve cihazın parmak izini toplar. Her telefonun ayrı bir kişi gibi görünmesi gereken bir çiftlikte, ortak bir yönetim sunucusu ile fazla yazılım, cihazlar arasında gereksiz bir bağlantı yaratıyor.
SMS ve özel yeteneklere erişim. Sistem modülü, Erişilebilirlik, bildirimlere ve SMS'e erişim için izin talep ediyor ve bunları kendisine verebiliyor. Kullanım analizi sırasında bunların kullanımı tespit edilmedi, ancak onay kodlarını iş hesapları için alan bir telefonda bu tür haklar tehlikeli.
Sıfırlama işe yaramıyor. Bileşen sistem bölümünde yer alıyor, bu nedenle fabrika ayarlarına sıfırlama, telefonu aynı enfekte duruma geri döndürüyor.

Telefonlarınızı Nasıl Kontrol Edersiniz: Kontrol Listesi

Bitdefender, paket isimlerine değil, kararlı çekirdeğe (libeasy.so, cn.kw.lib.hex, alan adı api.weatherlive.world) odaklanmayı öneriyor, çünkü isimler değişiyor. Antivirüs tarayıcısı olmadan bu zor, ancak ADB üzerinden ilk filtreleme bir telefon için bir dakikanızı alır.

USB hata ayıklamayı etkinleştirin ve telefonu adb ile bilgisayara bağlayın.
Şüpheli sistem paketlerini bulun:
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
Normal bir Android bu isimleri içermez. Herhangi bir eşleşme, cihazı izole etmek için bir sebep.
Kaplama uygulamalarını arayın:
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
Şüpheli paketin yükleme kaynağını kontrol edin:
adb shell dumpsys package com.dmstudio.weather | grep -i installer
Eğer burada com.android.vending belirtilmişse ve siz uygulamayı yüklemediyseniz, kayıt taklit edilmiş olabilir.
Ağ bağlantılarını kontrol edin. 6000 portu, uzak adres sütununda onaltılık :1770 ile gösterilir: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Bu dosyalara erişim kapalıysa, çiftlik yönlendiricisindeki bağlantılara bakın.
Bileşeni kullanıcı için devre dışı bırakmayı deneyin: adb shell pm disable-user --user 0 <paket_adı>. Bu, Bitdefender'ın bahsettiği ADB üzerinden gidiş yoludur. Bazı firmware'lerde sistem paketleri bu şekilde devre dışı bırakılmaz ve bu normaldir. Bu durumda, cihazın resmi temiz firmware ile yeniden flash edilmesi veya devre dışı bırakılması gerekir.
Firmware'i üreticiden kontrol edin. Eğer bir yamanın çıktığına dair bir bilgi varsa, yükleyin ve ardından adım 2-5'i tekrarlayın: sahiplerin raporlarına göre, güncelleme bazen zararlıyı geri getirmiştir.

Ağ Seviyesi: Çiftliğin Çıkışını Kapatın

Görünüşte temiz olan telefonları bile beyaz listeye sahip bir yönlendirici arkasında tutmak faydalıdır. Uygulamalarınız için gerçekten gerekli olan portları ve yönleri yalnızca izin verin: İhtiyacınız olan sitelere HTTPS ve kendi çözümleyicinize DNS. Diğer her şeyi yasaklayın. 6000 portuna giden çıkış TCP ve Bitdefender raporundaki alan adlarına yönelik istekler, normal bir çiftlikte bulunmaz, böyle bir girişim enfekte olma belirtisi olarak değerlendirilmelidir. Yönlendirici logları, hangi cihazın "aramalar" yaptığını gösterir.

Gelecek İçin Alım Kuralları

Bir bütçe fiyatına "amiral gemisi" almayın. S26 Ultra'nın fiyatının beşte biri, muhtemelen bir klondur ve bu raporda klonlar en sık bahsedilenlerdir.
Resmi satıcılardan satın alın ve modeli üretici web sitesi ile karşılaştırın. Bu riski azaltır, ancak garanti vermez: Doogee ve Cubot kendileri resmi olarak satılmaktadır.
Her yeni cihazı çiftliğe girmeden önce yukarıdaki kontrol listesine göre kontrol edin. Girişte beş dakika harcamak, daha sonra tüm çiftlikte yasaklarla uğraşmaktan daha ucuzdur.
Bir kayıt tutun: model, firmware versiyonu, kontrol tarihi. Bir sonraki rapor belirli bir model hakkında çıktığında, o modelden kaç tane cihazınız olduğunu bir dakikada öğrenirsiniz.

Çiftlik Mobil IP İçin Gerekliyse

Pek çok kişi, çoklu hesaplama veya veri kazıma için temiz bir mobil adres sağlamak amacıyla telefonlar ve modemler tutuyor. Kendi montajınız tam kontrol sağlar ve mobil proxy'leri kendiniz yapma konusundaki materyalde bunun maliyetini inceledik. Ancak kontrol ile birlikte, donanım tedarik zincirini de üstleniyorsunuz. Midnight Mimosa, ucuz bir cihazın firmware'ini kontrol etmenin neredeyse imkansız olduğunu gösteriyor. Eğer telefon sadece internete çıkış için gerekiyorsa, donanım tutmanıza gerek yoktur ve gigabayt başına ödeme yapan mobil proxy'ler alabilirsiniz: döngü ve coğrafi değişiklikler, cihazları satın almadan ve yeniden flash etmeden ayarlanabilir. Mobil ağın gerekli olmadığı görevler için rezidans adresleri mevcuttur.

Sonuç

Midnight Mimosa, ucuz Android donanımında proxy modülleri hakkında ilk hikaye değil. 2026'da bunlar TV set üstü kutuları, müzik sistemleri ve şimdi de akıllı telefonlar oldu. Ortak bir ders var: Eğer bir cihaz şüpheli derecede ucuzsa, birisi firmware'ine kendi kazanç yöntemini yerleştirmiş olabilir ve bu yöntemlerden biri, IP'nizi başkalarının trafiği için satmaktır. Telefon çiftliği için bu, üç şeyi ifade eder: her cihazı girişte kontrol etmek, çiftliğe gereksiz ağ çıkışlarını kapatmak ve mobil adres için kendi donanımınıza gerçekten ihtiyacınız olup olmadığını soğukkanlı bir şekilde değerlendirmek.