Bitdefender 发现无法卸载的预装 Android 恶意软件，波及 150 个国家

Bitdefender 发现 Midnight Mimosa——一款预装在廉价 MediaTek 手机上的 Android 恶意软件，它伪造广告点击、投放应用并构建代理僵尸网络。

Bitdefender 研究人员发现了一个名为 Midnight Mimosa 的活动，涉及预装在不同品牌、采用 MediaTek 平台的低成本手机上的 Android 恶意软件。该恶意软件被内置于设备固件中，根据不同型号可能隐藏在不同的系统包中。它在机主首次开机前就已存在于手机中，且无法被移除。

该恶意软件拥有系统级权限，可在用户不知情的情况下安装和卸载应用、授予权限并从远程服务器下载代码。这使其运营者能够控制受感染的设备，并将其用于不同目的，包括构建大型僵尸网络。该活动似乎主要出于经济动机。

"这一方案很可能主要旨在创造收入。运营者实施广告和点击欺诈、收集设备和已安装应用信息，并将受感染设备变成住宅代理中继节点，使其成为僵尸网络中的僵尸。" Bitdefender 表示。"这创造了一条额外的收入来源，因为用于 DDoS 攻击的僵尸网络访问权是抢手货。僵尸网络越大，他们能收取的费用就越多。"

资金来自多个方面。运营者实施广告和点击欺诈、收集设备和已安装应用信息，并将受感染手机变成住宅代理中继节点。用于 DDoS 攻击的僵尸网络访问权是抢手货，僵尸网络越大，他们能收取的费用就越多。

该系统应用本身并不登记欺诈性点击。收入来自它投放到手机上的掩护应用，例如看起来逼真的天气、应用锁、笔记和 OCR 应用。这些应用通过合法的广告 SDK 加载真实广告，而一个位于顶层的隐形窗口则登记广告已被展示，广告网络将费用记在掩护应用名下，而非隐藏组件。

Bitdefender 是通过行为而非特征发现它的。一个名为 com.android.system.lite 的包看起来像核心 Android 组件，但行为却并非如此：它反复启用敏感访问权限，包括无障碍（Accessibility）和通知访问权限，并静默安装和卸载不相关的应用。它没有图标，应用标签仅为 "System"，其真正的机制藏在一个仅在运行时才苏醒的原生库中。

"调查始于 App Anomaly Detection，这是 Bitdefender Mobile Security 中的一项技术，它标记了 com.android.system.lite：一个带有核心系统组件名称和外观、行为却与之毫不相干的包。" 这家网络安全公司继续表示。"大多数移动安全仍基于单一假设：扫描一个应用，如果它被认为是干净的，它就是安全的。Bitdefender 的 App Anomaly Detection（于 2023 年推出）之所以存在，是因为在实践中，这一理论往往站不住脚。应用可能处于休眠状态，数周后才变得有害，有时仅在满足特定条件时才会如此（定向恶意软件）。此类应用可以通过所有静态检查，却在之后从服务器拉取其真正的载荷，或巧妙地从原生代码中解包出来。"

发现的第一个包只是该恶意软件的一个版本。相同的核心代码还出现在名为 com.android.sys.prot、com.android.sys.gmsprot 和 com.android.sys.bcprot 的包中，且使用不同的数字签名证书。Bitdefender 解释说，主要威胁不是包名本身，而是所有这些版本共享的恶意代码。

该恶意软件可以静默安装至少 32 个伪装成实用工具的不同应用，包括应用锁、天气应用、文件管理器、图标工具、OCR 工具和音频编辑器。它为自己获取了 Android 的无障碍、通知访问以及短信读写功能权限。Bitdefender 未观察到该恶意软件使用通知或短信权限，但运营者可在需要时激活它们。该恶意软件还会在短时间内反复启用和禁用这些权限。

安装手法既巧妙又恶劣。在投放载荷应用之前，该恶意软件会禁用 Google Play Store 应用，显然是为了躲避 Play Protect，随后再重新启用它，并且有一道安全网会在用户在场时将其重新打开，以免显得异常。它还能将 Google Play 记录为那些并非来自 Play 的应用的安装来源，尽管真正的 Play 应用带有一个名为 frosting 的服务端签名块，而伪造的应用则没有。

在底层，一个名为 libeasy.so 的原生库解密一个隐藏框架，该框架从一个伪装成天气 API 的命令服务器获取远程配置。该框架随后加载更多插件，运行进程内广告欺诈和静默安装，并可从服务器用新代码自我更新。插件和载荷以带有误导性扩展名的文件形式传输，例如命名为 .o 的 JAR 和以 .png 提供的 APK，因此离线检查的样本往往根本不含活动载荷。

广告欺诈是可调节的。该插件在全屏活动和无人请求的叠加层中展示广告，由屏幕点亮或运营者的命令触发。它将这些界面标记为安全，因此它们不会出现在截图或屏幕录制中，并以每日上限和时序限制触发合成点击，使其看起来自然。掩护应用在广告网格中充当对等节点，因此一个应用可以驱动展示量，而由另一个应用渲染并获得报酬。

一个载荷应用 com.mobile.applock.en 则完全是另一回事：一个单一用途的 TCP 代理，无广告、无界面，将手机注册为中继节点。

"我们的洞察显示，这些载荷应用在同一设备上被反复安装和卸载。这种更替有助于该行动缩短载荷在应用列表中保持可见的时间、轮换哈希值、更换活跃的变现模块，而底层系统组件则始终留在原位。" 报告指出。"除了为运营者创造收入外，这些设备还可被变成住宅代理中继节点，实质上成为僵尸网络的一部分，并可能在需要时帮助发起 DDoS 攻击。"

它通过端口 6000 上的原始 TCP 连接到一个控制主机，在四个域名之间轮换，并在控制器和服务器指定的任意目标之间转发流量。Bitdefender 在此指出一处勘误：它最初报告为控制服务器的 IP 结果是一个 sinkhole（黑洞服务器），而非命令服务器。

该活动还借助 Google Play 来瞄准 Android 用户。发布在该平台上的 13 个应用与相同的服务器通信，涉及至少两个开发者账户和 13 个不同的签名证书。它们通过了 Play 审核，提供了一些真实功能，同时也在应用之外展示广告，有时在手机闲置时也是如此。它们不具备预装包所拥有的权限，但 Bitdefender 仍称它们危险。

规模很大。在约两年时间里，该家族出现在 150 多个国家的数千台独立设备上，以墨西哥、法国和意大利为首，其次是美国、德国、巴西和西班牙。两个独立的区域中心加上一条长尾，正是硬件通过国际在线市场流通的样子，而非单一运营商的渠道。

"正如我们之前提到的，Zediel 签名的固件并非恶意软件传播的唯一途径。运营者使用许多其他设备——其中大多数很可能是真手机的视觉克隆品——来嵌入相同的恶意软件。" 报告指出。"除了通用的用户代理字符串外，许多受影响的型号是借用与其毫无关系的旗舰名称的仿冒设备。假 iPhone 包括：'i17 Pro Max'、'i16_Pro_Max' 或 '17_Pro_Max'，以及平板产品线的一款 'iPadAirPro'。"

这些手机往往是仿冒型号。有些报告的名称如 "i17 Pro Max"、"S25 Ultra" 和 "Note 18 Ultra"，尽管这些型号并不存在。其他则使用让它们看起来像真实三星设备的伪造代码。最常见的两个型号来自平价品牌：Doogee 的 S200 X 和 Cubot 的 KINGKONG X。XDA 论坛上的一次公开讨论也描述了用户发现一个隐藏的 com.android.sys.* 包，在他们将其移除后又以不同名称重新出现。

是谁安装了该恶意软件？许多受影响的手机使用由与深圳 Zediel 相关联的证书签名的固件。Bitdefender 确认这些证书被用于为受影响设备上的固件签名，但无法确定恶意软件是如何进入其中的，也无法确定证书所有者是否知情。其他受感染的手机并未使用 Zediel 签名的固件，因此该恶意软件可能是由设备制造商、固件集成商、物流合作伙伴或供应链中的其他方添加的。

该活动还有更久远的历史。Bitdefender 通过共享域名，将该恶意软件的基础设施与 Dr.Web 在 2021 年的 Android.Joker 家族以及 2025 年的 Android.Phantom 和 Click 家族联系起来。该行动现在还包括住宅代理软件。对防御者而言，关键在于检测该恶意软件的核心代码和命令服务器，并监控其行为。仅封锁特定包名是不够的，因为攻击者可以轻易更改它们。

清理受感染的手机并非机主通过卸载就能做到的，因为根组件位于系统分区中。它需要在固件层面清理或通过 ADB 禁用该组件，而这两者对大多数拥有这些手机的人来说都不现实。持久的解决方案掌握在出厂和销售受影响固件的厂商和市场平台手中。

用户所依赖的两道防线——商店审核和卸载能力——在这里都不适用，这正是 Bitdefender 称预装恶意软件为一种不同威胁类别的原因。

用户不能依赖应用商店检查或简单地卸载恶意软件。Bitdefender 因此认为预装恶意软件是一个独立的威胁类别。" 报告总结道。"预装恶意软件是一个不同的威胁类别。每一种面向用户的防御都假定机主在安装环节身处其中：安装提示、商店审核、Play Protect，以及事后的卸载能力。"