ARTICLE · 1173444
【安全圈】廉价安卓机曝固件级后门:系统应用内置木马沦为住宅代理
关键词
后门
核心事件快报：国际安全厂商 Bitdefender 披露代号为“含羞草子夜”（Midnight Mimosa）的移动固件供应链攻击活动。研究人员在多款面向新兴市场的廉价 Android 智能手机中检测到出厂即预装的固件级木马。该后门程序伪装成官方系统核心组件，直接烧录于 /system/priv-app 系统只读镜像，开箱即拥有系统顶级特权（UID 1000）。受感染手机在用户毫无察觉的情况下被收编为住宅代理网络节点，黑客借此洗白黑产流量、实施无感广告欺诈并能远程静默推送任意二级载荷。
🏭 供应链源头投毒：ROM 定制产业链的安全真空
Bitdefender 实验室针对受影响机型的逆向分析表明，此次恶意代码植入并非发生在上游芯片方案商（如联发科、展讯）的标准 BSP 源码中，而是出现在 ODM/OEM 白牌代工厂的第三方定制 ROM 环节。
在下沉智能手机与低端物联网设备的供应链中，品牌商往往为了极限压缩物料与研发成本，将整机系统固件的定制、系统预装应用乃至 OTA 升级服务打包外包给资质模糊的第三方软件集成商：
- 灰色商业分成买断预装
：第三方 ROM 厂商以“补贴系统开发成本”为名，向手机代工厂免费甚至贴钱提供定制固件，换取在系统底包中捆绑推广模块与“增值数据服务”的特权。 - 伪装成核心系统服务
：木马包名命名为 com.android.system.lite或com.mediatek.engineermode.service，使用与系统相同的主密钥进行平台签名（Platform Signature），普通用户在应用管理中无法停用或卸载。 - 恢复出厂设置完全无效
：由于木马直接固化在 /system系统只读分区，即便用户执行系统重置（Factory Reset），系统启动引导恢复的仍然是带有后门的镜像，恶意程序会在首次开机引导时自动满血复活。
⚙️ 技术解剖：住宅代理搭建、欺诈点击与防御阻断
“含羞草子夜”木马架构极其复杂，具备完备的 C2 指令集，其核心攻击功能覆盖以下维度：
- 构建移动端住宅代理网络（Residential Proxy）
：木马后台常驻微型 SOCKS5 代理中继隧道，利用移动蜂窝网络和家庭 Wi-Fi 动态 IP 资源。上游黑客将这些受控手机打包租赁给网络犯罪集团，用于洗白撞库攻击、垃圾邮件发送、跨国金融欺诈和黑产反爬虫绕过，导致普通用户的网络带宽被严重盗用。 - 无感广告点击欺诈
：借助 Android 系统内置的 SYSTEM_ALERT_WINDOW悬浮窗特权与辅助功能（Accessibility API），木马能在手机屏幕暗屏或待机时，在底层创建 1x1 像素的不可见透明 Webview，自动模拟加载广告联盟链接并模拟真实人类触控点击，赚取虚假广告佣金。 - 主动对抗杀软与 Play Protect
：利用平台级签名获得的系统管理权限，木马能调用隐藏私有 API 静默阻止 Google Play Protect 的云端扫描，甚至篡改系统证书存储区与 DNS 解析，阻断主流安全卫士对恶意域名的联网检测。 - 动态二级模块静默注入
：为了规避海关与静态检测，基础固件仅保留最小化代理与加载器，当手机成功联网并获取真实公网 IP 后，C2 服务器会分阶段下发经过 DexGuard 加壳的 DEX 与 ELF 动态链接库，直接在内存中执行。
🛡️ 风险启示与移动终端安全基线建议
固件级后门的曝光再次为移动终端生态敲响警钟。当硬件出厂即携带系统特权后门时，传统的操作系统沙盒隔离机制与应用层防病毒软件均宣告失效：
- 谨慎选购超低价白牌设备
：远离电商平台上无正规入网许可、品牌资质不明的超廉价智能手机或二手改装刷机设备，低廉硬件售价往往以出卖终端网络特权与隐私数据为对价。 - 企业移动办公（BYOD）严格准入
：企业安全运维团队在部署移动设备管理（MDM/UEM）策略时，应严密核查接入设备的 Android 固件签名指纹、未授权可疑系统服务（ /system/priv-app目录）以及异常 SOCKS5 代理流量外联。 - 硬件刷入可信开源 ROM 彻底净化
：对于已购置该类设备的技术用户，普通清除数据无法根除威胁，唯一彻底净化的方式是解锁 Bootloader，彻底刷入 LineageOS 等代码完全透明、具备官方签名校验的开源第三方 ROM。
END
阅读推荐
【安全圈】黑客团伙武器化Claude Code：AI代理协同突防实战拆解
【安全圈】WordPress Bricksforge曝10分满分RCE：未认证任意文件上传在野遭批量利用
【安全圈】恶意GitHub Actions工作流席卷数万开源仓库：窃取云凭证与AI密钥
【安全圈】P7 DarkSword新型iOS利用工具集曝光：精准劫持加密钱包
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
