Kupujesz nowy smartfon, a malware już ma uprawnienia systemowe

Nowy telefon, fabrycznie zainstalowany Android - wydawałoby się, że trudno o bezpieczniejszy punkt wyjścia. Tymczasem badacze Bitdefendera wykryli tysiące urządzeń, na których złośliwe oprogramowanie znajdowało się w systemie, zanim trafiły do rąk użytkowników. Malware instalowało dodatkowe aplikacje, fałszowało ruch reklamowy i zawierało mechanizm, który pokwalał wykorzystać telefon jako serwer pośredniczący, a przywrócenie ustawień fabrycznych nie rozwiązywało problemu.

8 października 2026 roku Bitdefender opublikował wyniki dochodzenia dotyczącego kampanii nazwanej Midnight Mimosa. Przez około dwa lata firma obserwowała złośliwe oprogramowanie działające na tysiącach tanich urządzeń z Androidem, głównie wykorzystujących układy MediaTek. Infekcje odnotowano w ponad 150 krajach, a najwięcej detekcji pochodziło z Meksyku, Francji i Włoch, a następnie ze Stanów Zjednoczonych, Niemiec, Brazylii i Hiszpanii.

Nie oznacza to oczywiście, że wszystkie urządzenia z procesorami MediaTeku są zagrożone. Problem dotyczy określonych wersji oprogramowania systemowego, spotykanych przede wszystkim w tanich telefonach, urządzeniach sprzedawanych pod różnymi markami oraz podróbkach popularnych modeli.

W odróżnieniu od typowych infekcji Androida użytkownik nie musiał niczego instalować ani otwierać złośliwego odnośnika. Telefon był już zainfekowany w chwili pierwszego uruchomienia.

Złośliwa aplikacja z prawami systemowymi

Punktem wyjścia do dochodzenia była aplikacja com.android.system.lite, wykryta przez mechanizm App Anomaly Detection firmy Bitdefender. Udawała zwyczajny składnik Androida, nie miała widocznej ikony i na pierwszy rzut oka nie robiła niczego podejrzanego.

Analiza wykazała jednak, że była to aplikacja systemowa podpisana kluczem platformowym, działająca z uprawnieniami pozwalającymi na instalowanie i usuwanie innych aplikacji bez zgody właściciela telefonu. Mogła również przyznawać dodatkowe uprawnienia i uruchamiać kod pobierany z Internetu.

To zasadnicza różnica w porównaniu ze zwykłym malware. W typowym scenariuszu przestępca musi nakłonić użytkownika do instalacji aplikacji, wykorzystać podatność albo znaleźć sposób na podniesienie uprawnień. Tutaj nie było takiej potrzeby bo złośliwy komponent od początku posiadał uprawnienia, które Android rezerwuje dla zaufanych elementów systemu.

Badacze znaleźli także inne warianty tego samego mechanizmu, ukrywające się pod nazwami:

• com.android.system.lite

• com.android.sys.prot

• com.android.sys.gmsprot

• com.android.sys.bcprot

Poszczególne wersje różniły się nazwami, certyfikatami podpisu i szczegółami implementacji, ale wykorzystywały ten sam zasadniczy mechanizm działania.

W jednym z analizowanych wariantów właściwa funkcjonalność została ukryta w bibliotece natywnej libeasy.so. Biblioteka odszyfrowywała kod przy użyciu RC4, a następnie ładowała dodatkowy framework Java do procesu działającego z uprawnieniami systemowymi. Kolejne moduły, pobierane z infrastruktury operatorów, odpowiadały już za konkretne działania.

Takie rozwiązanie utrudnia analizę. Sam plik APK może zawierać niewiele podejrzanych elementów, podczas gdy istotna część kodu zostaje odszyfrowana lub pobrana dopiero podczas działania urządzenia.

Telefon zarabia na reklamach. Tyle że nie dla właściciela

Jednym z głównych zastosowań Midnight Mimosa było oszustwo reklamowe, czyli ad fraud. Złośliwy komponent instalował na urządzeniach kolejne aplikacje, które miały wyglądać jak zwyczajne narzędzia: prognozy pogody, menedżery plików, blokady aplikacji, edytory audio, notatniki czy programy rozpoznające tekst ze zdjęć.

Bitdefender zidentyfikował co najmniej 32 takie aplikacje. Ich zadaniem nie było jednak wyłącznie dostarczanie funkcjonalności deklarowanych użytkownikowi. Część wykorzystywała legalne biblioteki reklamowe do wyświetlania reklam w niewidocznych oknach i generowania sztucznych interakcji.

Mechanizm potrafił nie tylko wyświetlić reklamę poza wzrokiem użytkownika, lecz także zasymulować kliknięcie, a nawet zgłosić zdarzenie interpretowane jako konwersja reklamowa. Wszystko bez świadomego udziału właściciela urządzenia.

Dla sieci reklamowej ruch mógł wyglądać jak aktywność prawdziwego użytkownika. Dla operatorów kampanii stanowił potencjalne źródło przychodu, a dla reklamodawców oznaczał płacenie za interakcje, które nigdy nie nastąpiły.

Co ciekawe, aplikacja systemowa nie musiała sama wyświetlać reklam. Instalowała i kontrolowała inne pakiety, które korzystały z normalnych identyfikatorów reklamowych. Dzięki temu oszustwo było rozproszone pomiędzy wiele pozornie niezależnych aplikacji.

Google Play Protect? Na chwilę go wyłączymy

Badacze opisali również mechanizm utrudniający wykrywanie instalowanych aplikacji. Tuż przed instalacją kolejnego pakietu malware tymczasowo wyłączało aplikację Sklepu Google Play, a po zakończeniu operacji ponownie ją uruchamiało. Według Bitdefendera prawdopodobnym celem było ograniczenie możliwości wykrycia złośliwego pakietu przez mechanizmy powiązane z Google Play Protect.

Nie jest to równoznaczne z dowodem całkowitego wyłączenia wszystkich mechanizmów ochronnych Androida. Pokazuje jednak, że autorzy malware świadomie wykorzystywali dostępne im uprawnienia do ograniczania kontroli nad instalowanym oprogramowaniem.

Dodatkowo fałszowano informacje o źródle instalacji niektórych aplikacji, aby sprawiały wrażenie pochodzących z oficjalnego sklepu. Operatorzy nie polegali przy tym na jednym zestawie plików. Zmieniali nazwy pakietów, certyfikaty podpisu i instalowane moduły, utrudniając wykrywanie zagrożenia na podstawie prostych sygnatur.

Twój telefon może pracować dla kogoś innego

Drugą istotną funkcjonalnością odkrytą przez Bitdefendera był mechanizm residential proxy. W jednej z aplikacji, com.mobile.applock.en, badacze znaleźli kod pozwalający zarejestrować telefon jako zdalnie zarządzany węzeł sieciowy i przekazywać przez niego ruch TCP.

W takim modelu cudzy ruch internetowy może wychodzić do sieci z adresu IP należącego do właściciela zainfekowanego urządzenia. Dla zewnętrznego serwera połączenie wygląda wówczas tak, jakby pochodziło ze zwykłego telefonu korzystającego z domowego Wi-Fi lub sieci komórkowej.

Takie pośrednictwo może być wykorzystywane do obchodzenia ograniczeń adresów IP, automatyzowania działań w Internecie czy ukrywania rzeczywistego źródła połączeń.

W tym miejscu potrzebne jest jednak istotne zastrzeżenie. Bitdefender potwierdził obecność kodu obsługującego połączenia i przekazywanie danych, ale podczas opisanego testu nie zaobserwował faktycznego transferu ruchu przez zarejestrowany węzeł. Firma skorygowała również pierwotną identyfikację jednego z adresów IP, wskazując, że należał do infrastruktury typu sinkhole, a nie aktywnego serwera sterującego.

Możliwość wykorzystania urządzeń jako serwerów proxy została więc potwierdzona na poziomie funkcjonalności złośliwego kodu. Nie oznacza to jednak, że badacze udokumentowali rzeczywistą skalę wykorzystywania zainfekowanych telefonów do przekazywania cudzych połączeń.

Jakie dane trafiają do operatorów?

Midnight Mimosa komunikowało się między innymi z infrastrukturą powiązaną z domeną api.weatherlive.world.

Podczas wymiany informacji z serwerem przekazywane były dane pozwalające zidentyfikować urządzenie i dostosować do niego dalsze działania. Obejmowały one między innymi IMEI, Android ID, adres MAC oraz informacje o środowisku systemowym. Analizowane moduły mogły również pozyskiwać informacje o zainstalowanych aplikacjach.

Złośliwy komponent miał ponadto możliwość uzyskiwania uprawnień związanych z usługami ułatwień dostępu (Accessibility), dostępem do powiadomień (Notification Access) i wiadomości SMS.

Samo posiadanie takich uprawnień jest poważnym zagrożeniem, zwłaszcza gdy aplikacja może wykonywać kod dostarczony zdalnie. Trzeba jednak odróżnić możliwości techniczne od faktycznie zaobserwowanych działań. Bitdefender nie stwierdził, aby analizowane próbki wykorzystywały te uprawnienia do odczytywania SMS-ów lub powiadomień.

Nie ma zatem podstaw, by przedstawiać Midnight Mimosa jako potwierdzoną kampanię masowego przechwytywania wiadomości czy danych uwierzytelniających. Udokumentowane działania koncentrowały się przede wszystkim na oszustwach reklamowych, zdalnym zarządzaniu dodatkowymi modułami i funkcjonalności proxy.

Doogee, Cubot i podróbki flagowców

W danych telemetrycznych Bitdefendera pojawiły się między innymi nazwy modeli Doogee S200 X oraz Cubot KINGKONG X. Obie należały do częściej obserwowanych oznaczeń urządzeń objętych kampanią.

Wcześniej użytkownicy forum XDA informowali o podejrzanych pakietach systemowych w urządzeniach tych marek. Opisywali między innymi sytuacje, w których usunięty komponent powracał pod inną nazwą. Zgłaszano również przypadki pojawienia się podejrzanego oprogramowania po aktualizacji firmware.

Nie należy jednak traktować tych informacji jako potwierdzenia infekcji każdego egzemplarza danego modelu. Badania dotyczą konkretnych urządzeń i wersji oprogramowania, a nie całej produkcji wymienionych marek.

Znaczna część wykryć pochodziła z urządzeń, które jedynie podszywały się pod znane modele. W identyfikatorach występowały nazwy takie jak "S24 Ultra", "S25 Ultra", "S26 Ultra", "Note 18 Ultra", "i16 Pro Max" czy "i17 Pro Max".

Nie chodziło o potwierdzone infekcje oryginalnych smartfonów Samsunga lub Apple. Były to oznaczenia używane przez sprzęt imitujący popularne urządzenia, czasem nawet z podrobionymi identyfikatorami modeli.

To ważne, ponieważ tanie smartfony sprzedawane pod prestiżowo brzmiącymi nazwami często korzystają z oprogramowania opracowanego przez zewnętrznych dostawców. Podobny sprzęt może trafiać na rynek pod wieloma markami, mimo że jego podstawowe komponenty i firmware pochodzą z tego samego źródła.

Badacze natrafili również na certyfikaty podpisu oprogramowania powiązane z chińską firmą Shenzhen Zediel. Nie ustalono jednak, czy przedsiębiorstwo uczestniczyło we wprowadzaniu malware, wiedziało o jego obecności, czy też jego certyfikaty zostały wykorzystane na innym etapie przygotowywania oprogramowania.

Samo znalezienie certyfikatu nie wystarcza do przypisania odpowiedzialności. Nadal nie wiadomo, kto dokładnie umieścił złośliwy komponent w firmware i kiedy do tego doszło.

Złośliwe aplikacje były również w Google Play

Śledztwo ujawniło jeszcze jeden problem. Bitdefender zidentyfikował 13 aplikacji dostępnych w Google Play, które zawierały kod powiązany z tą samą infrastrukturą i mechanizmami oszustw reklamowych.

Były rozpowszechniane przy użyciu różnych certyfikatów podpisu oraz co najmniej dwóch kont deweloperskich. Nie miały jednak tych samych uprawnień co komponenty preinstalowane w firmware. Ich obecność w oficjalnym sklepie nie dawała im automatycznie możliwości cichego instalowania innych pakietów czy zarządzania uprawnieniami systemowymi.

Mimo to wykorzystywały podobne mechanizmy reklamowe, w tym wyświetlanie reklam poza właściwym interfejsem aplikacji, nawet gdy użytkownik nie korzystał z telefonu.

To dwa różne sposoby dystrybucji złośliwego oprogramowania. Jeden wykorzystuje kompromitację oprogramowania dostarczanego razem ze sprzętem, drugi obecność podejrzanych aplikacji w oficjalnym sklepie. Łączy je kod i infrastruktura wykorzystywana do zarabiania na fałszywym ruchu reklamowym.

Dlaczego przywrócenie ustawień fabrycznych nie pomaga?

W przypadku zwykłej infekcji Androida reset fabryczny często wystarcza, aby usunąć złośliwe aplikacje zainstalowane przez użytkownika.

Z Midnight Mimosa sytuacja wygląda inaczej - tutaj główny komponent znajduje się w obszarze oprogramowania systemowego, którego standardowe przywrócenie ustawień fabrycznych nie nadpisuje. Reset usuwa dane użytkownika i przywraca konfigurację, ale pozostawia zainstalowany obraz systemu.

W efekcie po ponownym uruchomieniu telefonu złośliwa aplikacja może nadal znajdować się na swoim miejscu, ze wszystkimi wynikającymi z tego konsekwencjami.

Istnieją sposoby ograniczenia jej działania, między innymi za pomocą Android Debug Bridge (ADB). Wymagają jednak właściwego rozpoznania pakietu, a jego wyłączenie nie jest tym samym co fizyczne usunięcie kodu z firmware.

Trwałym rozwiązaniem jest zastąpienie zainfekowanego oprogramowania systemowego wersją pozbawioną złośliwych komponentów, pochodzącą z wiarygodnego źródła.

Dla przeciętnego użytkownika nie jest to proste zadanie. Nie każdy producent udostępnia obrazy firmware, nie każdy telefon pozwala na ich samodzielne wgrywanie, a nieprawidłowa operacja może doprowadzić do unieruchomienia urządzenia. Jeśli producent nie udostępnia zweryfikowanej, czystej wersji systemu, rozsądniejszym rozwiązaniem może być wymiana telefonu niż próby samodzielnego naprawiania nieznanego firmware.

Jak sprawdzić, czy telefon jest zagrożony?

Nie ma jednej metody, która pozwoliłaby przeciętnemu użytkownikowi ze stuprocentową pewnością wykluczyć obecność takiego zagrożenia. Malware działające z uprawnieniami systemowymi może skutecznie ukrywać swoją aktywność, a część objawów jest typowa również dla zupełnie nieszkodliwych problemów.

Warto jednak zwrócić uwagę na kilka sygnałów:

• Nieznane aplikacje, szczególnie systemowe, które pojawiają się ponownie po usunięciu.

• Nietypowo wysokie zużycie transmisji danych i energii, bez wyraźnej przyczyny.

• Aplikacje o nazwach sugerujących składniki Androida, których pochodzenia nie można ustalić.

• Podejrzane uprawnienia do usług ułatwień dostępu, powiadomień czy wiadomości SMS.

• Brak wiarygodnych informacji o producencie firmware, aktualizacjach zabezpieczeń i pochodzeniu urządzenia.

Bardziej zaawansowani użytkownicy mogą skorzystać z ADB do sprawdzenia zainstalowanych pakietów systemowych. Sama zgodność nazwy pakietu z jednym ze wskaźników infekcji nie powinna jednak być jedyną podstawą do usunięcia oprogramowania. Konieczna jest również weryfikacja jego pochodzenia i innych cech technicznych.

Podejrzenie infekcji można zweryfikować przy użyciu aktualnego oprogramowania zabezpieczającego, choć brak wykrycia nie daje gwarancji, że firmware jest czysty.

W przypadku uzasadnionych podejrzeń najlepiej powstrzymać się od korzystania z urządzenia do bankowości, uwierzytelniania i innych czynności wymagających wysokiego poziomu zaufania. Dotyczy to również telefonów dopuszczanych do firmowej poczty i aplikacji służbowych.

Problem zaczyna się wcześniej niż przy pierwszym uruchomieniu

Midnight Mimosa pokazuje, jak niebezpieczny może być brak kontroli nad pochodzeniem oprogramowania instalowanego na urządzeniach.

Użytkownik może zachowywać ostrożność, nie instalować aplikacji spoza Google Play, regularnie aktualizować system i przestrzegać wszystkich podstawowych zasad bezpieczeństwa. Żadne z tych działań nie usunie jednak złośliwego komponentu, który wcześniej został umieszczony w obrazie systemu i wyposażony w uprzywilejowany dostęp.

To również problem dla organizacji dopuszczających prywatne telefony do firmowych zasobów. Zgodność z podstawowymi wymaganiami konfiguracji czy obecność aktualnej aplikacji zabezpieczającej nie stanowi dowodu integralności całego systemu operacyjnego.

Nie oznacza to, że należy z góry podejrzewać każdy tani smartfon. Cena, marka ani zastosowany procesor nie są wystarczającymi wskaźnikami infekcji. Znacznie większe znaczenie mają pochodzenie urządzenia, przejrzystość łańcucha dostaw, dostępność aktualizacji oraz możliwość zweryfikowania oprogramowania systemowego.

Najbardziej niepokojące w Midnight Mimosa nie jest nawet to, że przestępcy potrafili zarabiać na reklamach wyświetlanych przez cudze telefony - chodzi o coś znacznie poważniejszego: znaleźli się w systemie, zanim jego właściciel dostał szansę zdecydowania, czemu chce zaufać.

A jeżeli złośliwe oprogramowanie od pierwszego uruchomienia ma uprawnienia systemowe, to nawet najbardziej ostrożny użytkownik zaczyna korzystanie z telefonu z przegranej pozycji.