2026年10月8日，Bitdefender Labs发布了关于“午夜蜜莫萨”行动的分析：廉价的Android智能手机在MediaTek芯片上出厂时，固件系统分区中预装了恶意代码。 该代码显示隐形广告，未经许可安装和删除应用程序，其中一个模块将手机注册到住宅代理网络中。研究人员在150多个国家发现了数千台感染设备，历时约两年。普通方式无法清除这种感染。
对于普通消费者来说，这是一个关于“不要购买可疑廉价Galaxy克隆”的故事。对于那些在进行多账户操作、社交媒体营销、应用测试或自制移动代理的手机农场持有者来说，风险更加具体。批量采购廉价Android设备正是创建这种农场的方式。下面我们将分析他们发现了什么，这对农场有什么威胁，以及如何检查自己的设备。
在午夜蜜莫萨中发现了什么
Bitdefender的应用异常检测系统注意到了一个系统应用com.android.system.lite，其签名为“System”，它悄悄地安装和删除其他程序。进一步调查发现，它嵌入在固件中，并由平台证书签名。因此，它拥有系统权限：安装和删除包、授予权限、修改受保护的设置。
该链条分为几个步骤：
- 系统引导程序（
com.android.system.lite及类似名称：com.android.sys.prot，com.android.sys.gmsprot）与本地库libeasy.so。它解密隐藏在APK框架中的内容。 - 隐藏框架从管理服务器下载插件并执行远程获取的代码。
- 插件负责广告欺诈、静默安装“合作”应用程序和内置WebView。
- 掩护应用程序：天气、应用锁、笔记、文本识别。Bitdefender统计了大约32个此类程序。
在每次静默安装之前，恶意软件执行pm disable com.android.vending，即禁用Google Play，然后再重新启用。研究人员推测，这样可以干扰Play Protect的检查，尽管这一效果尚未得到证实。一些样本还伪造了安装来源记录，使应用看起来是从Google Play下载的。
资金：隐形广告
主要收入来自广告欺诈。广告在其他应用程序上方的窗口中显示，包括当手机闲置时。这些窗口被标记为受保护，因此屏幕截图或录屏无法捕捉到它们。点击的频率由远程配置设定，点击是通过程序模拟的。在显示后60秒内发送虚假的“转化”事件。收入流向那些安装了真实广告SDK的掩护应用程序。
代理模块：手机作为出口节点
对于我们的主题，关键是应用com.mobile.applock.en，它自称为“Locket”。它没有界面和广告，权限仅包括互联网和网络状态。根据Bitdefender的数据，它执行以下操作：
- 与管理服务器在6000端口建立“原始”TCP连接；
- 发送设备指纹：型号、Android版本、SDK、构建ID和品牌；
- 从服务器获取“主机，端口”格式的地址列表和重询间隔；
- 为每个地址建立隧道，并双向转发外部流量。
换句话说，通过您的IP和SIM卡，其他人可以访问互联网。需要诚实说明的是：Bitdefender确认该基础设施接受手机注册。但新注册的测试设备没有收到转发任务，而管理服务器在被观察到后被重新分类为sinkhole。当前的流量转发尚未得到证实。尽管如此，该机制已经准备好，可以通过服务器的一条命令启用。
哪些设备受到影响
- 芯片组：MediaTek。
- 被提及的型号：Doogee S200 X和Cubot KINGKONG X。Cubot的拥有者在XDA论坛上描述了一个隐藏的包
com.android.sys.*，在删除后又恢复。根据一条消息，官方固件更新将恶意软件恢复。 - 仿冒旗舰机：固件中出现S25 Ultra、S26 Ultra、S24 Ultra、i17 Pro Max等名称。这些是廉价的三星和苹果克隆，在像AliExpress这样的市场上有很多。
- 地理分布：感染最多的国家是墨西哥、法国和意大利，其次是美国、德国、巴西、西班牙，之后是非洲、东南亚和中东的长尾。
部分固件由CN=ZED, L=ShenZhen证书签名，与Shenzhen Zediel有关。研究人员明确指出，这并不证明该公司的参与。谁在供应链的哪个阶段更改了固件尚不清楚。根据西班牙语媒体的报道，Doogee和Cubot已经发布了补丁，但没有解释代码是如何进入固件的。
此外，Bitdefender在Google Play中发现了13个应用程序，它们使用相同的广告代码。它们访问相同的基础设施，但没有系统权限。它们至少在两个开发者账户下发布，分别是fivedev和CPS Developer。
为什么这对手机农场来说是个问题
这已经不是第一次发生类似的情况。之前在汽车音响中发现了被劫持的更新程序和Android机顶盒中发现了类似链条。现在，普通智能手机也在名单上，而这些正是批量采购的对象。这带来的风险包括：
- 您IP上的外部流量。 如果代理模块开始转发流量，您的移动IP将出现在与垃圾邮件、密码暴力破解和爬虫相关的网站日志中。反欺诈平台会评估地址的声誉，农场中的账户将开始无明显原因地遭遇检查和封禁。
- 流量和电池消耗。 隐形广告和隧道消耗移动数据包和电量。在一个有数十台设备的农场中，这将是可观的费用。
- 关联账户。 恶意软件可根据命令安装应用程序并收集设备指纹。在一个每部手机都应看起来像一个独立个体的农场中，额外的软件与共享管理服务器之间的联系会在设备之间产生不必要的关联。
- 访问SMS和特殊功能。 系统模块声明了无障碍权限、通知和SMS的访问权限，并可能自行授予这些权限。在分析其使用时未发现异常，但在接收工作账户确认代码的手机上，这些权限是危险的。
- 重置无效。 组件位于系统分区，因此恢复出厂设置会将手机恢复到同样的感染状态。
如何检查自己的手机：检查清单
Bitdefender建议关注稳定的核心，而不是包名（libeasy.so、cn.kw.lib.hex、域名api.weatherlive.world），因为名称会发生变化。没有杀毒扫描器这很困难，但通过ADB进行初步筛选只需一分钟。
- 启用USB调试并将手机连接到带有
adb的计算机。 - 查找可疑的系统包：
adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
普通Android不包含这些名称。任何匹配都应隔离设备。 - 寻找掩护应用程序：
adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy" - 检查可疑包的安装来源：
adb shell dumpsys package com.dmstudio.weather | grep -i installer
如果显示com.android.vending，而您没有安装该应用，则记录可能已被伪造。 - 查看网络连接。 端口6000在远程地址列中指示十六进制
:1770：adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770"。如果无法访问这些文件，请查看农场路由器上的连接。 - 尝试为用户禁用组件：
adb shell pm disable-user --user 0 <包名>。这就是Bitdefender提到的通过ADB的路径。在某些固件中，系统包无法这样禁用，这是正常的。这意味着设备需要刷入官方干净的固件或停用。 - 检查制造商的固件。 如果有补丁发布，请安装它，然后重复步骤2-5：根据用户的反馈，更新有时会恢复恶意软件。
网络层：关闭农场的出口
即使看起来干净的手机，也建议放在带有白名单的路由器后面。仅允许您的应用程序真正需要的端口和方向：HTTPS到所需平台，DNS到自己的解析器。禁止其他所有内容。出站TCP到6000端口和对Bitdefender报告中的域名的请求在正常农场操作中不会出现，这种尝试应视为感染的迹象。路由器的日志将在一天内显示哪个设备“拨打”了不该拨打的电话。
未来的采购规则
- 不要以预算机的价格购买“旗舰机”。 S26 Ultra以五分之一的价格几乎肯定是克隆，而克隆在本报告中提到得最多。
- 从官方卖家处购买并与制造商网站核对型号。这降低了风险，但并不保证：Doogee和Cubot本身也在官方销售。
- 每台新设备在投入农场之前都要检查，按照上面的检查清单。进入时花五分钟的时间比之后处理整个农场的封禁要便宜得多。
- 保持登记册：型号、固件版本、检查日期。当下一份关于特定型号的报告发布时，您可以在一分钟内知道您有多少台这样的设备。
如果农场只是为了移动IP
许多人仅仅为了多账户操作或爬虫而持有手机和调制解调器，以获取干净的移动地址。自建设备提供了完全的控制权，而在关于自制移动代理的材料中，我们讨论了这需要多少成本。但与控制权一起，您也承担了硬件供应链的责任。“午夜蜜莫萨”表明，检查廉价设备的固件几乎是不可能的。如果您只需要手机作为网络出口，可以完全不持有硬件，而是选择按流量计费的移动代理：轮换和地理位置的更改可以在不采购和重新刷机的情况下进行。对于那些不需要移动网络的任务，可以使用住宅地址。
结论
午夜蜜莫萨已经不是第一次关于廉价Android设备中的代理模块的故事。2026年，这些是电视机顶盒、音响，而现在是智能手机。一个共同的教训是：如果设备的价格可疑地便宜，可能有人在固件中埋下了自己的盈利方式，其中一种方式就是将您的IP出售给外部流量。对于手机农场来说，这意味着三件事：在进入时检查每台设备，关闭农场的多余网络出口，并理性评估您是否真的需要自己的硬件来获取移动地址。