Mimosa Nửa Đêm: Điện Thoại Android Giá Rẻ Có Trojans Proxy Trong Firmware. Cách Kiểm Tra Trang Trại

Ngày 8 tháng 10 năm 2026, Bitdefender Labs đã công bố phân tích chiến dịch Midnight Mimosa: các smartphone Android giá rẻ trên chip MediaTek xuất xưởng với mã độc ngay trong phân vùng hệ thống của firmware. Mã độc này hiển thị quảng cáo vô hình, cài đặt và gỡ bỏ ứng dụng mà không cần hỏi, và một trong các module của nó đăng ký điện thoại vào mạng proxy cư trú. Các nhà nghiên cứu đã đếm được hàng ngàn thiết bị bị nhiễm ở hơn 150 quốc gia trong khoảng hai năm. Việc gỡ bỏ mã độc theo cách thông thường là không thể.

Đối với người tiêu dùng thông thường, đây là câu chuyện về "đừng mua những bản sao Galaxy giá nghi ngờ". Đối với những người điều hành trang trại điện thoại cho đa tài khoản, SMM, thử nghiệm ứng dụng hoặc proxy di động tự chế, rủi ro cụ thể hơn. Việc mua sỉ các thiết bị Android giá rẻ chính là tạo ra một trang trại như vậy. Dưới đây sẽ phân tích những gì đã được phát hiện, mối đe dọa đối với trang trại và cách kiểm tra thiết bị của bạn.

Những gì đã tìm thấy trong Midnight Mimosa

Chiến dịch đã được hệ thống Phát hiện Anomalies Ứng dụng của Bitdefender chú ý. Hệ thống đã nghi ngờ ứng dụng hệ thống com.android.system.lite với chữ ký "System", cái đã âm thầm cài đặt và gỡ bỏ các chương trình khác. Tiếp theo, đã phát hiện ra rằng nó được tích hợp trong firmware và được ký bởi chứng chỉ nền tảng. Do đó, nó có quyền hệ thống: cài đặt và gỡ bỏ gói, cấp quyền, thay đổi các cài đặt bảo mật.

Chuỗi này được tổ chức theo nhiều bước:

• Bootloader hệ thống (com.android.system.lite và các tên tương tự: com.android.sys.prot, com.android.sys.gmsprot) với thư viện gốc libeasy.so. Nó giải mã framework ẩn bên trong APK.
• Framework ẩn tải xuống từ máy chủ quản lý các plugin và thực thi mã nhận được từ xa.
• Plugin chịu trách nhiệm cho gian lận quảng cáo, cài đặt "ứng dụng đối tác" âm thầm và WebView tích hợp.
• Ứng dụng che giấu: thời tiết, chặn ứng dụng, ghi chú, nhận diện văn bản. Bitdefender đã đếm được khoảng 32 chương trình như vậy.

Trước mỗi lần cài đặt âm thầm, mã độc thực hiện pm disable com.android.vending, tức là tắt Google Play, rồi sau đó bật lại. Các nhà nghiên cứu cho rằng điều này giúp nó ngăn cản việc kiểm tra Play Protect, mặc dù hiệu ứng này chưa được xác nhận. Một số mẫu thêm vào giả mạo bản ghi nguồn cài đặt, và ứng dụng trông giống như được tải xuống từ Google Play.

Tiền: quảng cáo vô hình

Thu nhập chính đến từ gian lận quảng cáo. Quảng cáo được hiển thị trong các cửa sổ trên các ứng dụng khác, bao gồm cả khi điện thoại không hoạt động. Những cửa sổ này được đánh dấu là bảo vệ, vì vậy ảnh chụp màn hình hoặc ghi lại màn hình không thể bắt được chúng. Tần suất "nhấp chuột" được đặt bởi cấu hình từ xa, và các cú nhấp chuột được mô phỏng bằng phần mềm. Sau 60 giây từ khi hiển thị, một sự kiện "chuyển đổi" giả mạo được gửi đi. Doanh thu được chuyển cho các ứng dụng che giấu, nơi có các SDK quảng cáo thực sự.

Module proxy: điện thoại như một nút ra

Đối với chủ đề của chúng ta, ứng dụng com.mobile.applock.en, tự gọi mình là "Locket". Nó không có giao diện và quảng cáo, và chỉ có quyền truy cập internet và trạng thái mạng. Theo dữ liệu của Bitdefender, nó thực hiện các hành động sau:

1. mở một kết nối TCP "thô" với máy chủ quản lý trên cổng 6000;
2. gửi dấu vân tay thiết bị: mẫu, phiên bản Android, SDK, build ID và thương hiệu;
3. nhận từ máy chủ danh sách địa chỉ theo định dạng "host, port" và khoảng thời gian kiểm tra lại;
4. đối với mỗi địa chỉ, xây dựng một đường hầm và chuyển tiếp lưu lượng truy cập của người khác qua nó.

Nói cách khác, thông qua IP và SIM của bạn, ai đó khác đang truy cập internet. Cần có một lưu ý trung thực: Bitdefender đã xác nhận rằng cơ sở hạ tầng nhận đăng ký điện thoại. Nhưng thiết bị thử nghiệm mới được đăng ký không nhận được nhiệm vụ chuyển tiếp, và máy chủ quản lý mà đã thấy sống, sau đó đã được phân loại lại thành sinkhole. Việc chuyển tiếp lưu lượng tích cực vẫn chưa được chứng minh. Tuy nhiên, cơ chế đã sẵn sàng, và có thể kích hoạt nó bằng một lệnh từ máy chủ.

Các thiết bị nào bị ảnh hưởng

• Chipset: MediaTek.
• Các mẫu đã nêu: Doogee S200 X và Cubot KINGKONG X. Chủ sở hữu Cubot trên diễn đàn XDA đã mô tả gói ẩn com.android.sys.*, cái đã trở lại sau khi bị gỡ bỏ. Theo một báo cáo, bản cập nhật firmware chính thức đã đưa mã độc trở lại.
• Giả mạo các flagship: trong các firmware có tên S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max và tương tự. Đây là những bản sao giá rẻ của Samsung và Apple, có rất nhiều trên các thị trường như AliExpress.
• Địa lý: nhiều nhất là các ca nhiễm ở Mexico, Pháp và Ý, sau đó là Mỹ, Đức, Brazil, Tây Ban Nha, và một dải dài ở châu Phi, Đông Nam Á và Trung Đông.

Một phần firmware được ký bởi chứng chỉ CN=ZED, L=ShenZhen, cái được liên kết với Shenzhen Zediel. Các nhà nghiên cứu đã chỉ ra rằng điều này không chứng minh sự tham gia của công ty. Ai và ở giai đoạn nào trong chuỗi cung ứng đã thay đổi firmware vẫn chưa được biết. Theo thông tin từ báo chí nói tiếng Tây Ban Nha, Doogee và Cubot đã phát hành các bản vá, nhưng không giải thích cách mà mã độc đã vào firmware.

Riêng Bitdefender đã tìm thấy 13 ứng dụng trong Google Play với cùng mã quảng cáo. Chúng truy cập vào cùng cơ sở hạ tầng, nhưng không có quyền hệ thống. Chúng được công bố dưới ít nhất hai tài khoản nhà phát triển, fivedev và CPS Developer.

Tại sao đây là vấn đề đối với trang trại điện thoại

Đây không phải là trường hợp đầu tiên như vậy. Trước đây, các chuỗi tương tự đã được phát hiện trong các đầu phát ô tô với trình cập nhật bị chiếm đoạt và trong các thiết bị Android TV. Giờ đây, trong danh sách có các smartphone thông thường, và chúng chính là những thiết bị được mua theo lô. Điều này có thể gây ra:

• Lưu lượng truy cập của người khác trên IP của bạn. Nếu module proxy bắt đầu chuyển tiếp lưu lượng, IP di động của bạn sẽ xuất hiện trong nhật ký của các trang web bên cạnh spam, thử mật khẩu và scraping. Các nền tảng chống gian lận đánh giá danh tiếng của địa chỉ, và các tài khoản trên trang trại sẽ bắt đầu nhận kiểm tra và cấm mà không có lý do rõ ràng.
• Tiêu tốn lưu lượng và pin. Quảng cáo vô hình và các đường hầm tiêu tốn gói di động và năng lượng. Trên trang trại với hàng chục thiết bị, đó là một khoản tiền đáng kể.
• Các tài khoản liên kết. Mã độc theo lệnh cài đặt ứng dụng và thu thập dấu vân tay thiết bị. Trong trang trại, nơi mỗi điện thoại phải trông như một người riêng biệt, phần mềm thừa với máy chủ quản lý chung tạo ra sự liên kết không cần thiết giữa các thiết bị.
• Truy cập SMS và các chức năng đặc biệt. Module hệ thống yêu cầu quyền truy cập vào Accessibility, thông báo và SMS và có thể tự cấp quyền cho mình. Trong quá trình phân tích, việc sử dụng chúng không được phát hiện, nhưng trên điện thoại nhận mã xác nhận cho các tài khoản làm việc, những quyền này là nguy hiểm.
• Đặt lại không giúp. Thành phần nằm trong phân vùng hệ thống, vì vậy việc đặt lại về cài đặt gốc sẽ đưa điện thoại trở lại trạng thái nhiễm bệnh.

Cách kiểm tra điện thoại của bạn: danh sách kiểm tra

Bitdefender khuyên nên dựa vào không phải tên gói, mà vào kernel ổn định (libeasy.so, cn.kw.lib.hex, miền api.weatherlive.world), vì tên có thể thay đổi. Nếu không có máy quét antivirus, điều này sẽ khó khăn, nhưng việc sàng lọc ban đầu qua ADB chỉ mất một phút cho mỗi điện thoại.

1. Bật gỡ lỗi qua USB và kết nối điện thoại với máy tính bằng adb.
2. Tìm các gói hệ thống nghi ngờ:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Android thông thường không chứa những tên này. Bất kỳ sự trùng khớp nào là lý do để cách ly thiết bị.
3. Tìm các ứng dụng che giấu:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Kiểm tra nguồn cài đặt của gói nghi ngờ:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Nếu có com.android.vending, và bạn không cài đặt ứng dụng, bản ghi có thể đã bị giả mạo.
5. Xem các kết nối mạng. Cổng 6000 chỉ ra :1770 trong cột địa chỉ từ xa: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Nếu không có quyền truy cập vào những tệp này, hãy xem các kết nối trên router của trang trại.
6. Thử tắt thành phần cho người dùng: adb shell pm disable-user --user 0 <tên_gói>. Đây là con đường qua ADB mà Bitdefender đã đề cập. Trên một số firmware, các gói hệ thống không thể bị tắt như vậy, và điều đó là bình thường. Điều đó có nghĩa là thiết bị cần được flash lại bằng firmware sạch chính thức hoặc ngừng hoạt động.
7. Kiểm tra firmware từ nhà sản xuất. Nếu có bản vá, hãy cài đặt nó, và sau đó lặp lại các bước 2–5: theo báo cáo của các chủ sở hữu, bản cập nhật đôi khi đã đưa mã độc trở lại.

Cấp độ mạng: đóng cửa ra cho trang trại

Ngay cả những điện thoại có vẻ sạch sẽ cũng nên được giữ sau router với danh sách trắng. Chỉ cho phép các cổng và hướng mà thực sự cần cho ứng dụng của bạn: HTTPS đến các nền tảng cần thiết và DNS đến resolver của bạn. Tất cả các thứ khác hãy cấm. TCP đầu ra đến cổng 6000 và các yêu cầu đến các miền trong báo cáo của Bitdefender không xuất hiện trong hoạt động bình thường của trang trại, nên coi đó là dấu hiệu nhiễm bệnh. Nhật ký của router trong một ngày sẽ cho thấy thiết bị nào "gọi" đến nơi mà nó không nên.

Quy tắc mua sắm cho tương lai

• Đừng mua "flagship" với giá của một thiết bị giá rẻ. S26 Ultra với giá chỉ bằng một phần năm chắc chắn là bản sao, và các bản sao trong báo cáo này được đề cập nhiều nhất.
• Mua từ các nhà bán lẻ chính thức và đối chiếu mẫu với trang web của nhà sản xuất. Điều này giảm rủi ro, nhưng không đảm bảo: Doogee và Cubot cũng tự bán chính thức.
• Kiểm tra từng thiết bị mới trước khi đưa vào trang trại theo danh sách kiểm tra ở trên. Năm phút ở cửa vào rẻ hơn nhiều so với việc phải giải quyết các lệnh cấm trên toàn trang trại sau này.
• Giữ sổ đăng ký: mẫu, phiên bản firmware, ngày kiểm tra. Khi có báo cáo tiếp theo về một mẫu cụ thể, bạn sẽ biết trong một phút có bao nhiêu thiết bị như vậy đang có.

Còn nếu trang trại cần để có IP di động

Nhiều người giữ điện thoại và modem chỉ để có địa chỉ di động sạch cho đa tài khoản hoặc parsing. Tự lắp ráp cho phép kiểm soát hoàn toàn, và trong tài liệu về proxy di động tự chế, chúng tôi đã phân tích chi phí của nó. Nhưng cùng với việc kiểm soát, bạn cũng phải chịu trách nhiệm về chuỗi cung ứng phần cứng. Midnight Mimosa cho thấy rằng việc kiểm tra firmware của một thiết bị giá rẻ gần như là không thể. Nếu bạn chỉ cần điện thoại như một cổng vào mạng, bạn có thể không cần phần cứng và lấy proxy di động với thanh toán theo gigabyte: việc thay đổi và chuyển đổi địa lý có thể được cấu hình mà không cần mua sắm và flash lại thiết bị. Đối với các nhiệm vụ mà mạng di động không bắt buộc, có địa chỉ cư trú.

Kết luận

Midnight Mimosa không phải là câu chuyện đầu tiên về các module proxy trong phần cứng Android giá rẻ. Năm 2026, đó là các thiết bị TV, đầu phát, và giờ đây là smartphone. Có một bài học chung: nếu thiết bị có giá đáng ngờ, có thể ai đó đã tích hợp vào firmware cách kiếm tiền của riêng họ, và một trong những cách đó là bán IP của bạn cho lưu lượng của người khác. Đối với trang trại điện thoại, điều này có nghĩa là ba điều: kiểm tra từng thiết bị khi vào, đóng các lối ra mạng không cần thiết cho trang trại và đánh giá một cách tỉnh táo xem liệu bạn có thực sự cần phần cứng của mình chỉ để có địa chỉ di động hay không.