На недорогих Android-смартфонах обнаружили вредоносную программу, встроенную в прошивку ещё до продажи. Румынская компания Bitdefender назвала кампанию Midnight Mimosa. За примерно два года её следы нашли на тысячах отдельных устройств в более чем 150 странах. Речь идёт об аппаратах разных марок на платформах MediaTek; среди них встречаются дешёвые модели без собственного бренда и подделки с названиями, похожими на Samsung Galaxy и Apple iPhone. В перечне стран указаны Германия, Бразилия, Испания, Великобритания, Канада, Румыния, Польша и Таиланд. Первый пункт этого перечня приведён лишь как «S.»: определить страну по такому сокращению нельзя.
Встроенный пакет com.android.system.lite работает с системными привилегиями. Он получает настройки с внешнего сервера, загружает дополнительный код и запускает его. Операторы могут выдать разрешение любому пакету Android, а самому компоненту — доступ к специальным возможностям, уведомлениям и SMS. Это оставляет им куда больше свободы, чем дала бы обычная установка приложения пользователем.
На заражённых телефонах вредоносный компонент устанавливает и удаляет меняющийся набор как минимум из 32 приложений, замаскированных под другие программы. Среди загружаемых модулей есть средства для рекламного мошенничества, исполнения кода и проксирования трафика; партнёрские приложения можно ставить и убирать без ведома владельца. Телефон при этом способен стать «домашним» прокси: посторонние используют его интернет-соединение как промежуточный узел. По оценке Bitdefender, операторы могут по-разному настраивать отдельные устройства и собирать из них крупные ботнеты. Предполагаемые источники дохода — мошенничество с рекламой и кликами, сбор сведений об устройстве и установленных приложениях, а также использование заражённых телефонов как прокси-узлов.
Сам предустановленный компонент по объявлениям не нажимает. Для рекламной схемы служат приложения-загрузчики, притворяющиеся безобидными утилитами. Они получают настоящую рекламу через легальный рекламный SDK, затем открывают невидимое окно поверх других приложений и регистрируют показы. Владелец телефона может вовсе не видеть то, за что начисляется рекламный доход.
Bitdefender обнаружила и 13 приложений из Google Play, обращавшихся к тем же управляющим серверам. Среди них Wavrge (com.audify.editor.wavrge), App Icon DIY (appicon.diy.tools.prop), Audify (com.audify.editor.pro), QR Pocket (com.prorestore.qr), All Deleted Messages Recovery (com.message.recovery.prorestore), WeatherGo (com.go.weather.mot) и CoolWeather (com.cool.weather.yl).
Остальные шесть — Daily Weather (com.dmstudio.weather), Lock & Hide (com.dl.guard.lock), QuickText Extractor (picturetranslate.extractor.text.lite), NoteMaster (com.notemaster.record.mark), Tap to Translate (com.arabmusic.tap.aghani_tamerhosny) и Tasky (org.life.goal.tools). В отличие от встроенного вредоносного компонента, эти приложения действительно выполняли заявленные функции, например показывали погоду или сканировали QR-коды. Одновременно они выводили рекламу за пределами собственных окон, в том числе когда человек не пользовался телефоном. По данным Bitdefender, сейчас ни одно из 13 приложений нельзя скачать из Google Play.
Перед установкой дополнительного модуля встроенная программа отключает приложение Google Play Store, а после запуска модуля включает его снова. Bitdefender считает, что такой порядок действий, вероятно, нужен для обхода проверок Play Protect. Наличие приложений с теми же управляющими серверами в Google Play показывает, что Midnight Mimosa не ограничилась устройствами с заражённой прошивкой.
Вредоносный компонент нашли на аппаратах с прошивками, подписанными сертификатами, которые связывают с китайским производителем Android-устройств Shenzhen Zediel Co., Ltd. Во время расследования Bitdefender обнаружила и названия других компаний. Был ли владелец сертификатов причастен к размещению программы или хотя бы знал о ней, неизвестно. Предустановка указывает на проблему в цепочке поставки устройств, но сама по себе не устанавливает виновного.
Исследователи также заметили частичное совпадение инфраструктуры Midnight Mimosa с Android.Phantom. Эту кампанию Doctor Web описала в январе 2026 года: вредоносный код распространялся вместе с модифицированными играми и популярными приложениями ради мошенничества с кликами. Другой случай заражения прошивки — Keenadu, о котором Kaspersky сообщила в конце прошлого года. Его нашли предустановленным на некоторых моделях Android-планшетов; основным назначением тоже было рекламное мошенничество.
Удалить видимое приложение здесь недостаточно: исходный компонент находится в системном разделе. Обычные барьеры Android — запрос согласия на установку, проверка магазина, Play Protect и возможность удаления приложения — рассчитаны на ситуацию, когда установкой управляет владелец. По оценке Bitdefender, очистить заражённый аппарат можно на уровне прошивки либо отключить компонент через ADB. Для большинства покупателей таких телефонов оба способа слишком сложны; исправление зависит от производителей и торговых площадок, которые поставляют и продают устройства с этой прошивкой.
Изображение носит иллюстративный характер
Встроенный пакет com.android.system.lite работает с системными привилегиями. Он получает настройки с внешнего сервера, загружает дополнительный код и запускает его. Операторы могут выдать разрешение любому пакету Android, а самому компоненту — доступ к специальным возможностям, уведомлениям и SMS. Это оставляет им куда больше свободы, чем дала бы обычная установка приложения пользователем.
На заражённых телефонах вредоносный компонент устанавливает и удаляет меняющийся набор как минимум из 32 приложений, замаскированных под другие программы. Среди загружаемых модулей есть средства для рекламного мошенничества, исполнения кода и проксирования трафика; партнёрские приложения можно ставить и убирать без ведома владельца. Телефон при этом способен стать «домашним» прокси: посторонние используют его интернет-соединение как промежуточный узел. По оценке Bitdefender, операторы могут по-разному настраивать отдельные устройства и собирать из них крупные ботнеты. Предполагаемые источники дохода — мошенничество с рекламой и кликами, сбор сведений об устройстве и установленных приложениях, а также использование заражённых телефонов как прокси-узлов.
Сам предустановленный компонент по объявлениям не нажимает. Для рекламной схемы служат приложения-загрузчики, притворяющиеся безобидными утилитами. Они получают настоящую рекламу через легальный рекламный SDK, затем открывают невидимое окно поверх других приложений и регистрируют показы. Владелец телефона может вовсе не видеть то, за что начисляется рекламный доход.
Bitdefender обнаружила и 13 приложений из Google Play, обращавшихся к тем же управляющим серверам. Среди них Wavrge (com.audify.editor.wavrge), App Icon DIY (appicon.diy.tools.prop), Audify (com.audify.editor.pro), QR Pocket (com.prorestore.qr), All Deleted Messages Recovery (com.message.recovery.prorestore), WeatherGo (com.go.weather.mot) и CoolWeather (com.cool.weather.yl).
Остальные шесть — Daily Weather (com.dmstudio.weather), Lock & Hide (com.dl.guard.lock), QuickText Extractor (picturetranslate.extractor.text.lite), NoteMaster (com.notemaster.record.mark), Tap to Translate (com.arabmusic.tap.aghani_tamerhosny) и Tasky (org.life.goal.tools). В отличие от встроенного вредоносного компонента, эти приложения действительно выполняли заявленные функции, например показывали погоду или сканировали QR-коды. Одновременно они выводили рекламу за пределами собственных окон, в том числе когда человек не пользовался телефоном. По данным Bitdefender, сейчас ни одно из 13 приложений нельзя скачать из Google Play.
Перед установкой дополнительного модуля встроенная программа отключает приложение Google Play Store, а после запуска модуля включает его снова. Bitdefender считает, что такой порядок действий, вероятно, нужен для обхода проверок Play Protect. Наличие приложений с теми же управляющими серверами в Google Play показывает, что Midnight Mimosa не ограничилась устройствами с заражённой прошивкой.
Вредоносный компонент нашли на аппаратах с прошивками, подписанными сертификатами, которые связывают с китайским производителем Android-устройств Shenzhen Zediel Co., Ltd. Во время расследования Bitdefender обнаружила и названия других компаний. Был ли владелец сертификатов причастен к размещению программы или хотя бы знал о ней, неизвестно. Предустановка указывает на проблему в цепочке поставки устройств, но сама по себе не устанавливает виновного.
Исследователи также заметили частичное совпадение инфраструктуры Midnight Mimosa с Android.Phantom. Эту кампанию Doctor Web описала в январе 2026 года: вредоносный код распространялся вместе с модифицированными играми и популярными приложениями ради мошенничества с кликами. Другой случай заражения прошивки — Keenadu, о котором Kaspersky сообщила в конце прошлого года. Его нашли предустановленным на некоторых моделях Android-планшетов; основным назначением тоже было рекламное мошенничество.
Удалить видимое приложение здесь недостаточно: исходный компонент находится в системном разделе. Обычные барьеры Android — запрос согласия на установку, проверка магазина, Play Protect и возможность удаления приложения — рассчитаны на ситуацию, когда установкой управляет владелец. По оценке Bitdefender, очистить заражённый аппарат можно на уровне прошивки либо отключить компонент через ADB. Для большинства покупателей таких телефонов оба способа слишком сложны; исправление зависит от производителей и торговых площадок, которые поставляют и продают устройства с этой прошивкой.
