出厂即带毒：Bitdefender披露Midnight Mimosa预装恶意软件，波及150多国

导语：Bitdefender近日发布研究报告，揭露一个名为Midnight Mimosa的Android恶意软件活动。该家族以系统级权限直接植入廉价安卓手机的固件，普通方式无法卸载，过去两年间已在150多个国家与地区的设备上现身。

一、事件概述

10月初，Bitdefender研究团队发布了一份题为《The phone was compromised before the user turned it on: the rise of Midnight Mimosa》的分析报告，正式命名并系统披露了这一持续两年多的恶意软件家族。研究人员称，这是迄今为止规模较大、植入深度较高的预装型Android恶意软件案例之一。

与传统的钓鱼软件、短信木马不同，Midnight Mimosa并非在用户使用手机后才被植入，而是在设备出厂之前就已经嵌入固件之中，作为”系统应用”的一部分伴随系统启动。Bitdefender基于遥测数据估算，该家族的样本覆盖了150余个国家与地区，累计影响”成千上万”台独立设备，时间跨度约两年。

报告同时披露，这一恶意软件家族具备以下能力：

• 系统级权限：以平台签名应用的形式预装，无法通过常规手段卸载
• 静默安装/卸载其他应用：可下载并安装额外载荷
• 广告刷量与点击欺诈：劫持广告收益
• 住宅代理化：把受感染设备变成”住宅代理节点”，供他人借用网络出口
• 临时关闭Google Play商店：规避Play Protect在安装阶段的检测

二、受影响设备与品牌

受感染的设备集中在搭载联发科（MediaTek）平台的廉价多品牌安卓机型上。报告中点名或间接关联的品牌和型号包括：

• Doogee S200 X
• Cubot KINGKONG X
• 仿冒旗舰机型，名称模仿”S24 Ultra”、”S25 Ultra”、”S26 Ultra”、”i17 Pro Max”、”i16 Pro Max”、”17 Pro Max”等
• 其他未列名的低端/白牌机型

在签发链路层面，研究人员发现核心组件 com.android.system.lite 使用的平台证书关联到深圳市智立信息技术有限公司（Shenzhen Zediel Co., Ltd.）。Bitdefender强调，这一关联不能直接证明其植入或知情分发恶意软件，但属于值得关注的供应链线索——它意味着有第三方在固件签名链路上留下了痕迹。

供应链注入点目前仍然未确定。Bitdefender没有将Midnight Mimosa与此前BADBOX 2.0一类已知僵尸网络行动直接关联。

三、感染最多的国家与中国相关情况

根据Bitdefender公开的地理分布数据，感染量排名前列的国家为：

• 墨西哥
• 法国
• 意大利
• 美国
• 德国
• 巴西
• 西班牙

报告未将中国大陆列入感染量前七名，但这并不意味着中国用户可以置身事外，相关影响需要从两个层面分别来看：

1. 设备制造与供应链层面（中国是源头）

报告点名的部分机型来自中国厂商，固件签名证书也与一家深圳公司绑定。从过往类似行动（如廉价TV盒子、Android车机预装后门）的经验看，预装型恶意软件的注入点往往位于ODM/方案商或刷机环节，而非品牌方官方行为。这意味着国产白牌或方案机型仍然是高风险载体。

2. 用户接触层面（中国用户主要通过以下渠道受影响）

• 海淘廉价机型：通过跨境电商、代购、闲鱼等渠道购买的低价、超低价安卓机，部分为库存机或翻新机
• 仿冒”山寨旗舰”：模仿三星、苹果命名但实际由小厂生产的”i17 Pro Max”等
• 二手机：从海外或非正规渠道流入的二手机，可能携带原始固件中的恶意组件
• 企业批量采购的低端备用机：曾有企业批量采购杂牌机型用作员工备用机或测试机的案例

主流国产大品牌（华为、小米、OPPO、vivo、传音、荣耀、中兴、魅族等）暂不在已知感染范围内。这些厂商在出厂流程、固件签名、OTA通道上把关相对严格。

四、用户处置建议

由于恶意软件以系统签名形式驻留在固件层，常规”恢复出厂设置”、”安全应用扫描”往往无法根除。Bitdefender给出的处置路径包括：

• 通过可信渠道重新刷入官方固件（需厂商提供）
• 联系厂商申请售后或召回（目前尚无大规模召回）
• 在极端情况下，更换设备本身
• 在购机前核验机型：通过GSMA设备数据库、厂商官网确认IMEI与型号的对应关系

对普通消费者而言，规避这类风险最直接的方法是：

• 不购买价格明显低于市场价的”旗舰机”
• 警惕任何对不上号的”i17 Pro Max”、”S26 Ultra”等仿冒命名
• 优先选择主流厂商的官方渠道

五、对行业的影响

Midnight Mimosa再度把”供应链预装型恶意软件”推回到行业视野。自2023年以来，BADBOX 2.0、GoldFactory、Triada变种等多起行动均采用类似手法。从公开数据看，这类行动通常服务于广告刷量与流量变现，也有部分被用于构建住宅代理网络。

对Android生态而言，它再次提示：

• 平台签名模型需要更高强度的”白名单”约束
• 终端用户缺乏固件层的可视化审计能力
• 廉价设备市场的灰色供应链仍是恶意软件植入的重要通道

Bitdefender在报告中并没有给出完整的全球受害者数量统计，但150余国、跨两年、跨品牌的覆盖范围已足以让这场行动进入年度重大供应链安全事件的行列。

版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。