ARTICLE · 1161406
安卓出厂即带毒,波及150多国
导语：一个名为Midnight Mimosa的Android恶意软件家族近日被完整披露。它直接植入廉价安卓机型的固件层，普通方式无法卸载，覆盖150多个国家与地区的设备。本文从技术角度还原这起事件。
一、事件起源
起点是一个看起来"很像系统组件"的应用包名 —— com.android.system.lite。它出现在多个品牌的多台设备上，名字像Android自带的系统服务，行为却完全不是：不断静默地安装和卸载其他应用，反复请求开启无障碍与通知访问权限。
顺着这个异常样本向供应链上游追溯，发现这是一个延续两年多、跨品牌跨国家的恶意软件家族 —— Midnight Mimosa。整个家族依托同一套核心代码与不同外壳包名，寄生在设备固件层里"出厂即带"。
二、植入原理：为什么普通方式删不掉
Android的核心信任锚是平台签名密钥（platform key）。只有被这把密钥签名的包，系统才会视为官方组件、授予 /system 分区权限。com.android.system.lite 与该家族其他外壳包，正是用平台密钥签名的。
这把密钥本应只签发给设备厂商自身的系统镜像，出现在第三方预装包上意味着固件构建环节已被污染 —— 签名证书关联到深圳市智立信息技术有限公司（Shenzhen Zediel Co., Ltd.），但这并不等同于该公司植入或知情分发。
由于固件是只读分区镜像，常规处置手段全部失效：卸载提示"系统应用无法卸载"；恢复出厂设置只擦 /data、不动 /system；安全应用扫描被平台签名"洗白"；OTA升级能否根除取决于厂商是否主动替换底层固件。用户拿到新机、第一次开机的那一刻，这套载荷就已就位于内核态可达的权限中。
三、能力栈：广告刷量与住宅代理
Midnight Mimosa并不直接参与点击欺诈，而是通过"投放中介"模式变现：先借助平台签名身份静默安装一批伪装成天气、笔记、OCR、App锁等常见工具的"掩护应用"，让它们通过合法SDK正常展示广告；再在屏幕顶层叠一层透明窗口劫持每条广告的曝光事件 ——广告平台的归因与计费落在掩护应用身上，真正的展示并不在用户屏幕上发生。
更进一步的能力还包括：静默安装/卸载任意应用、从远程服务器拉取新代码实现载荷热更新、申请并保持无障碍与通知监听等高敏感权限、临时停用 Google Play 商店绕开 Play Protect 检查、把设备的网络出口租出去成为住宅代理节点。入口模块在不同机型上使用不同的"系统样"包名分散在 /system/priv-app/ 下，肉眼极难分辨。
四、传播规模与地理分布
两年内受影响设备覆盖150余国，感染量排名前七的国家依次为：墨西哥、法国、意大利、美国、德国、巴西、西班牙。
机型集中在搭载**联发科（MediaTek）**的廉价多品牌安卓设备，包括 Doogee S200 X、Cubot KINGKONG X，以及模仿 "S24 Ultra"、"S25 Ultra"、"S26 Ultra"、"i17 Pro Max"、"i16 Pro Max"、"17 Pro Max" 等命名的仿冒旗舰机。
值得注意的是，同一套广告刷量代码也出现在 Google Play 上 13 款应用中，分属至少 2 个开发者账号与 13 个独立签名证书 —— 行动已具备通过公开市场扩散的能力，并不依赖预装单一渠道。
五、给中国用户的启示
虽然中国大陆未列入感染量前七名，但中国用户并非完全无感：
供应链层面：点名的 Doogee、Cubot 等品牌为中国厂商，签名证书关联到深圳一家公司。预装型恶意软件的注入点通常位于 ODM/方案商或刷机环节，而非品牌方官方行为 —— 国产白牌、方案机型依旧是高风险源头。 用户接触层面：海淘廉价机型、山寨仿冒机、非正规渠道的二手机、企业批量采购的杂牌备用机，都是潜在入口。
主流国产品牌（华为、小米、OPPO、vivo、传音、荣耀、中兴、魅族等）暂不在已知感染范围内，其出厂流程、固件签名与 OTA 通道把关相对严格。
六、检测与处置难点
固件层恶意软件让传统端点防护无从下手，原因有四点：信任锚被污染（平台密钥是Android安全模型的根），样本多态（外壳包名、版本号、签名哈希都无法作为稳定 IOC），行为隐蔽（核心操作经由"系统"身份完成，日志看起来合规），无回退路径（用户层面没有"重新烧录"工具，需要厂商提供官方固件或直接换机）。
实际能起作用的，是行为基线而非签名特征：一个名为"系统组件"的包反复触发安装/卸载、持续占用无障碍权限，就值得怀疑 —— 这也是这起事件浮出水面的关键。
七、总结
Midnight Mimosa把Android供应链预装型恶意软件推到了新的尺度：跨两年、150余国、跨品牌、利用平台签名取得内核级信任，并把住宅代理、刷量变现、载荷热更新整合成相对完整的产业链。它再次说明，廉价安卓市场的灰色供应链仍是当前最值得投入监管资源的环节之一。
对普通用户来说，最直接的做法依旧是：不买明显低于市场价的"旗舰"、不碰任何对不上号的仿冒机型，优先选择主流厂商的官方渠道。
版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
👇 点击阅读原文，访问我的网站