手機首次開機前就已遭入侵
Midnight Mimosa 惡意軟體行動已影響 150 多個國家的數千台 Android 裝置。這項行動在買家首次開機前，就將惡意軟體植入手機韌體。Bitdefender 至少發現 32 款由該行動部署、經過偽裝的應用程式，以及 13 款含有相同廣告詐欺程式碼、並與其控制基礎設施通訊的 Google Play 應用程式。
目錄
這項調查結果於 2026 年 10 月 8 日公布，並於 10 月 9 日更新，描述一項觀察約兩年的行動。受影響裝置包括採用 MediaTek 平台的平價手機、冒用 Apple 和 Samsung 機型名稱的仿冒產品，以及自稱為 Doogee S200 X 和 Cubot KINGKONG X 的裝置。
Bitdefender 的技術報告指出，這項感染不需要買家下載可疑應用程式。惡意系統元件隨裝置一同出廠，擁有強大的作業系統權限，且能在未徵求使用者同意的情況下安裝其他軟體。
這使得威脅格外難以清除。刪除不想要的天氣應用程式或應用程式鎖，或許能移除行動中一個看得見的部分，卻無法處理安裝它的元件。研究人員發現，有害酬載在同一批裝置上反覆出現又消失。
這項調查也有其未能確認的事項。研究人員無法查明是誰將惡意軟體植入韌體。他們發現程式碼具備透過受感染手機轉送流量的能力，但測試裝置並未收到任何轉送指派。操作者能使用敏感權限，但研究人員在分析期間未觀察到這些權限遭到使用。
控制安裝作業的隱藏元件
調查始於 Bitdefender 的行為偵測技術標記了 com.android.system.lite。它的名稱和通用的 System 標籤看起來像一般 Android 元件，實際行為卻截然不同：它會默默安裝、移除無關應用程式，並反覆啟用敏感權限。
這個元件沒有可見的啟動器圖示。它使用 Android 平台簽章，並以 system 使用者身分執行，設定上也會持續運作。它具備安裝和刪除套件、授予其他應用程式權限，以及變更安全設定的權限。這些能力遠超過手機使用者自行下載的應用程式通常能取得的範圍。
研究人員後來也在其他名稱下發現相同的惡意核心，包括 com.android.sys.prot、com.android.sys.gmsprot 和 com.android.sys.bcprot。手機使用者回報的另一個套件 com.android.non.szcz，也被確認屬於同一個家族。不同版本使用不同名稱，有些版本也使用不同的簽章憑證。
這對偵測和清除至關重要：單一套件名稱無法代表整個威脅。手機即使沒有 com.android.system.lite，也可能含有同一套機制的其他版本。相較於 Android 應用程式清單上顯示的名稱，共同的行為和底層程式碼是更有效的辨識依據。
遠端程式碼如何改變手機行為
許多惡意邏輯藏在名為 libeasy.so 的原生程式庫中，而非直接顯示於系統應用程式的一般程式碼中。初始化時，該程式庫使用 RC4 加密技術隱藏並還原一套約 142 KB 的內嵌框架。
這套框架會向命令與控制伺服器取得設定，也就是操作者用來指揮受感染裝置的遠端服務。它能下載並載入 DEX 和 JAR 檔案，這兩種格式用來封裝可執行的 Android 和 Java 程式碼。如此一來，操作者便能在裝置售出後改變其行為。
研究人員辨識出三個外掛家族。其中一個與 com.wz.sdk.DxFactory 有關，負責製造虛假的廣告曝光和點擊。其他兩個分別與 com.earnsdk.lib.DxFactory 和 com.gogo.third.lib.DxFactory 有關，可支援默默安裝和移除其他應用程式；後者還包含 WebView 功能。
因此，這個系統元件扮演的是持續運作的控制器，而非單一、固定的廣告惡意軟體。移除今天的酬載，無法阻止它明天再下載另一個酬載。遠端載入程式碼並授予特權權限，也表示它的潛在活動範圍比調查期間觀察到的行為更廣。
偽裝成一般應用程式，以虛假點擊牟利
這項行動表面上的主要目的似乎是牟利。研究人員發現至少 32 款不同的酬載應用程式，偽裝成天氣工具、應用程式鎖、檔案管理員、圖示工具、文字辨識工具和音訊編輯器。有些提供部分功能，另一些則沒有真正執行名稱所暗示的任務。
其中一個例子是 com.mobile.applock.wt，它自稱是應用程式鎖，卻缺乏提供該功能所需的介面和程式碼。它會對使用者隱藏，並充當另一個惡意軟體投放程式，也就是負責傳送更多惡意軟體的程式。其他已辨識的酬載包括 com.dmstudio.weather、com.dl.guard.lock 和 picturetranslate.extractor.text.lite。
這些掩護應用程式帶有合法的廣告軟體開發套件（SDK）。SDK 是讓應用程式顯示廣告並從廣告活動收取費用的工具。這些工具為詐欺流量提供應用程式和廣告識別碼，讓收入得以歸入相關名下。
Bitdefender 資安研究人員 Adrian Mihai Gozob 和 Alex Baciu 說明了持續運作的系統元件與掩護應用程式之間如何分工：
系統應用程式本身不會登錄詐欺性的曝光和點擊。
控制器負責提供指令、時間安排和模擬操作，而廣告識別碼則屬於掩護應用程式。這些應用程式透過共用服務互通，並向包含偽裝成天氣 API 的控制服務在內的基礎設施回報相同的裝置識別碼。這使得表面上各自獨立的工具串連成一場協同運作的廣告行動。
技術分析發現，系統會在沒有使用者觸碰螢幕的情況下自動點擊、隨機選擇廣告目標、設定每日上限，並在模擬互動之間安排間隔。研究人員也發現，系統會在 60 秒計時器結束後自動回報轉換。這些控制機制能調節虛假活動的頻率，而非不間斷地產生相同事件。
Google Play 既是規避偵測的目標，也是散布管道
部署酬載前，惡意軟體會暫時停用 com.android.vending，也就是 Google Play 商店應用程式。之後它會重新啟用該應用程式，並設有在使用者操作裝置時將其還原的保護機制。Bitdefender 評估此舉可能是為了規避 Play Protect 偵測，但這並不能證明每次安裝都成功避開掃描。
有些變種還會操弄 Android 的安裝程式紀錄，讓惡意軟體安裝的軟體看起來像是透過 Google Play 安裝。這種偽裝可能讓使用者查看應用程式來源時，覺得陌生的應用程式較不令人起疑。
廣告機制使用的版位包括未經使用者要求便開啟的活動，以及覆蓋在其他應用程式上的介面。其中一個廣告介面被標記為安全，因此不會出現在螢幕截圖或錄影中。報告指出，這項行動既有隱藏的廣告活動，也會顯示侵入性廣告，因此不應將它視為完全隱形。
Google Play 也是另一個散布管道。研究人員辨識出 13 款已上架應用程式，含有相同的廣告詐欺程式碼，並與 Midnight Mimosa 的基礎設施通訊。這些應用程式使用 13 組不同的簽章憑證，至少來自兩個名為 fivedev 和 CPS Developer 的開發者帳戶。
這些商店應用程式沒有預先安裝的系統元件所擁有的提升權限。這項差異十分重要：下載其中一款應用程式，不會自動讓它取得遭入侵韌體元件所擁有的相同靜默安裝權限。儘管如此，即使使用者當下沒有操作手機，它們仍可能在自身介面之外顯示廣告。
相關應用程式中至少有一些在相關調查結果報導時仍可下載，Google 也沒有立即回應置評請求。目前尚無已確認的下架時程。Google Play 的相關發現顯示，風險並不限於仿冒硬體或出廠時就已遭入侵的手機。
觀察到代理伺服器註冊，未觀察到實際流量轉送
另一個酬載 com.mobile.applock.en 含有 TCP 代理元件。代理伺服器會代替他人轉送網際網路流量。如果連線來自一般手機使用者，流量看起來可能是從使用者的網際網路位址發出，而非實際下達指令的一方。
該元件會向遠端伺服器註冊裝置，並能接收連線至指定目的地、轉送流量的指令。這類功能可能支援由遠端控制裝置組成的網路，也就是殭屍網路，並透過出售這些連線的存取權創造另一種收入來源。
Bitdefender 確認代理基礎設施接受了測試裝置的註冊。不過，測試期間該裝置沒有收到任何轉送目標。因此，這項調查證實了裝置註冊和流量轉送能力，但並未在該次測試中證實有實際轉送流量。
分散式阻斷服務攻擊也有相同的注意事項；這類攻擊會以來自多台裝置的流量淹沒目標。研究人員指出，參與殭屍網路和發動此類攻擊都是可能用途。調查結果並未證實 Midnight Mimosa 手機曾發動特定攻擊，也未指出哪些客戶曾購買這些連線的存取權。
調查發現哪些裝置和國家受到影響？
受影響裝置以墨西哥、法國和義大利為多，其次是美國、德國、巴西和西班牙。統計涵蓋約兩年內辨識出的數千台不同裝置，但未公布確切的行動總數。這些是偵測結果，並非所有遭感染售出手機的完整普查。
超過 11% 的受感染裝置自稱是與 Cubot 有關的 KINGKONG X 機型，超過 4% 則自稱是與 Doogee 有關的 S200 X 機型。這兩組通報機型合計占偵測結果逾 15%。有關這項調查的報導也提及 Cubot Kingkong 9。
受感染裝置中，排名前 15 的手機品牌占 35.8%。約 64% 被歸為「其他」，這是報告中四捨五入後的數字。這種分布顯示受影響市場相當分散，並非只限於某個容易辨識的品牌。
仿冒機型名稱包括 i17 Pro Max、i16_Pro_Max、17_Pro_Max、S25 Ultra、S24 Ultra 和 Note 18 Ultra。也出現了 iPadAirPro 平板名稱。這些名稱來自平價 Android 硬體，不能據此認定 Apple 或 Samsung 的正品也帶有該惡意軟體。
機型識別碼並非完全可靠的證據，因為軟體可以偽造裝置身分。特定機型遭偵測，也不代表以該名稱銷售的每一台裝置都受到感染。這些技術發現涉及受影響的裝置和韌體版本，並非所有 MediaTek 產品或上述品牌的所有手機。
韌體憑證無法證明責任歸屬
部分受影響韌體使用標示為 Shenzhen Zediel 的憑證簽署。這項簽章證據很重要，因為它將惡意元件與裝置信任的韌體連結起來。但僅憑這一點，無法確認是誰植入惡意軟體，也無法證明憑證持有人知情。
Gozob 和 Baciu 明確說明，調查無法確認這項歸因：
我們只能確認，受影響裝置的韌體使用了標示為 Shenzhen Zediel 的憑證簽署。
相關報導對這個名稱背後的企業有不同說法，包括將其描述為 Android 裝置製造商，以及稱其似乎與主機板開發商有關。這些描述都無法釐清責任歸屬。Bitdefender 也發現，部分受影響手機的韌體簽章憑證並未標示 Zediel，因此該簽章身分既無法完整解釋此事，也不是通用的辨識指標。
可能的惡意程式植入環節包括原始設計製造商、韌體整合商、物流合作夥伴，或供應鏈中的其他業者。報告並未指認其中任何一方。已確認的事實是，受影響手機售出前，惡意軟體就已隨韌體一同出廠。
使用者回報顯示，光刪除應用程式並不足夠
Cubot 和 Doogee 手機使用者表示，可疑應用程式在刪除後又重新安裝。一名 Doogee Fire 3 Max 使用者回報，官方韌體更新引入了感染；還原舊版韌體後感染消失，但重新安裝更新後又再度出現。這些是使用者回報，並非經獨立查證、適用於每一個受影響韌體版本的紀錄。
有些使用者表示，後續製造商更新已解決感染問題。製造商尚未公開說明惡意程式碼如何進入受影響韌體。綜合這些說法，調查和修復時應將韌體版本視為關鍵因素，而不是以為刪除下載的應用程式就能解決問題。
調查和後續報導確認的主要時序如下：
- 約兩年來，Bitdefender 在 150 多個國家觀察到數千台受影響裝置。
- 2026 年 10 月 8 日，Bitdefender 公布 Midnight Mimosa 調查結果。
- 2026 年 10 月 9 日，技術報告更新。
- 截至 10 月 12 日刊出的報導，相關 Google Play 應用程式和受影響韌體的責任歸屬仍未釐清。
Bitdefender 表示，清除問題需要處理韌體，或透過 Android Debug Bridge（通常稱為 ADB）停用惡意元件。ADB 是讓電腦以除錯和管理用途與 Android 裝置通訊的工具。停用元件並不等同於以確認乾淨的版本取代遭入侵韌體。
目前尚無通用的清除指令，也沒有經確認安全的韌體清單。韌體狀況未明時，使用者應向賣家或製造商尋求經確認的補救方式或更換裝置，不要只因更新標示為官方版本，就認定它安全。若已知裝置受到影響，在問題尚未解決前，避免使用它處理銀行業務、敏感帳戶驗證，或儲存重要資訊，是審慎的防範措施。
值得關注的還包括研究人員未觀察到實際使用的敏感權限。無障礙服務和通知存取權反覆遭到授予和撤銷，系統中也存在簡訊權限。若遠端提供的程式碼啟用這些權限，就可能取得螢幕內容、通知或驗證訊息。這是已證實的風險，並不代表 Midnight Mimosa 在分析期間確實竊取了這些資料。
重點整理
- Midnight Mimosa 在受影響裝置送達買家之前，就已植入 Android 韌體。
- 約兩年來，Bitdefender 在 150 多個國家觀察到數千台受影響裝置。
- 這項行動部署至少 32 款經偽裝的酬載應用程式；另有 13 款 Google Play 應用程式使用相同的廣告詐欺程式碼和基礎設施。
- 系統權限可讓惡意軟體默默安裝應用程式、授予權限並載入遠端程式碼。
- 研究人員確認裝置已向代理伺服器註冊，但未在測試裝置上觀察到實際流量轉送。
- 韌體簽章憑證無法證明是誰植入惡意軟體，也無法證明憑證持有人涉入其中。
- 只移除掩護應用程式無法處理持續運作的元件；清除問題必須處理韌體，或停用該元件。
