Midnight Mimosa: mã độc cài sẵn trong điện thoại Android Doogee, Cubot — tự cài 32 ứng dụng, gian lận quảng cáo, biến máy thành proxy

Người dùng không tải ứng dụng lạ, không bấm link đáng ngờ — nhưng mã độc đã nằm sẵn trong phần mềm hệ thống ngay từ khi chiếc điện thoại rời nhà máy. Đó là bản chất của Midnight Mimosa, chiến dịch mã độc Android quy mô lớn mà hai nhà nghiên cứu Adrian Mihai Gozob và Alex Baciu của Bitdefender công bố ngày 8/10: hàng nghìn thiết bị tại hơn 150 quốc gia, chủ yếu là điện thoại siêu bền giá rẻ của Doogee và Cubot, bị cài sẵn một thành phần độc hại có quyền hệ thống, âm thầm cài thêm 32 ứng dụng, gian lận quảng cáo và chuẩn bị biến máy thành nút proxy trong suốt khoảng hai năm.

Trả lời nhanh

• Midnight Mimosa là chiến dịch mã độc cài sẵn trong firmware điện thoại Android, do Bitdefender công bố ngày 8/10; thành phần độc hại ban đầu bị phát hiện mang package com.android.system.lite, ngụy trang thành một thành phần cốt lõi của Android nhưng có quyền cấp hệ thống.
• Quy mô theo Bitdefender: hàng nghìn thiết bị tại hơn 150 quốc gia trong khoảng hai năm; Mexico, Pháp và Italy ghi nhận nhiều thiết bị bị ảnh hưởng nhất; hai mẫu máy xuất hiện nhiều nhất là Doogee S200 X và Cubot KINGKONG X, đều là điện thoại siêu bền dùng chip MediaTek.
• Mã độc tự cài và gỡ ít nhất 32 ứng dụng luân phiên (thời tiết, khóa màn hình, quản lý tệp, tạo biểu tượng, trích xuất văn bản, chỉnh sửa âm thanh...); trước mỗi lần cài, nó vô hiệu hóa Google Play Store để né Play Protect rồi bật lại sau khi cài xong, và một số phiên bản giả mạo nguồn cài đặt thành Google Play.
• Nguồn thu chính là gian lận quảng cáo: mã độc tự hiển thị quảng cáo toàn màn hình, tự nhấp và ghi nhận chuyển đổi giả sau khoảng một phút, đồng thời dùng cơ chế FLAG_SECURE để chặn chụp màn hình; nó còn có thể đăng ký điện thoại vào mạng lưới proxy qua ứng dụng ẩn tên Locket.
• Mã độc tự cấp các quyền nguy hiểm — Accessibility, truy cập thông báo, đọc/ghi SMS — và thu thập IMEI, Android ID, địa chỉ MAC cùng danh sách ứng dụng đã cài; theo Bitdefender, các quyền này mới ở trạng thái "chuẩn bị sẵn", báo cáo không ghi nhận chúng được sử dụng thực tế.
• Cách xử lý thực tế: cài bản cập nhật firmware sạch mới nhất của nhà sản xuất (Cubot và Doogee đều đã phát hành bản vá theo ghi nhận của người dùng), kiểm tra package đáng ngờ bằng ADB và vô hiệu hóa nếu cần; khôi phục cài đặt gốc không đủ vì mã độc nằm trong firmware.

Midnight Mimosa là gì và nó hoạt động như thế nào?

Midnight Mimosa là tên Bitdefender đặt cho một chiến dịch mã độc được cài sẵn trong phần mềm hệ thống của một số điện thoại Android trước khi đến tay người dùng. Hệ thống bảo mật của Bitdefender ban đầu phát hiện một ứng dụng mang tên com.android.system.lite — bề ngoài giống hệt một thành phần cốt lõi của Android. Phân tích hành vi cho thấy ứng dụng này đang âm thầm cài đặt và gỡ bỏ phần mềm khác mà không cần sự đồng ý của chủ sở hữu.

Vì được tích hợp vào phần mềm hệ thống, thành phần này không hoạt động như một ứng dụng thông thường: nó có quyền cài đặt, gỡ bỏ ứng dụng, tự cấp quyền và thực thi mã tải xuống từ máy chủ điều khiển từ xa. Nó mang tên gọi giống thành phần chính thức, có đặc quyền hệ thống và không có nút gỡ cài đặt thông thường — người dùng chỉ cần mở hộp, bật nguồn, chọn ngôn ngữ và đăng nhập tài khoản Google là mã độc đã có thể bắt đầu hoạt động.

Ngoài hai mẫu máy phổ biến nhất là Doogee S200 X và Cubot KINGKONG X, các nhà nghiên cứu còn ghi nhận nhiều thiết bị tự nhận là S25 Ultra, S26 Ultra, Note 18 Ultra hay i17 Pro Max; một số máy thậm chí báo cáo mã model trùng với sản phẩm Samsung có thật, dù Samsung chưa từng sản xuất các mẫu đó — dấu hiệu của nhóm điện thoại nhái thương hiệu.

32 ứng dụng luân phiên và cơ chế gian lận quảng cáo ra sao?

Theo thống kê của Bitdefender, mã độc luân phiên cài đặt ít nhất 32 ứng dụng khác nhau lên điện thoại. Chúng được ngụy trang thành những tiện ích quen thuộc: ứng dụng thời tiết, khóa màn hình, quản lý tệp, tạo biểu tượng, trích xuất văn bản từ hình ảnh và chỉnh sửa âm thanh. Đặc biệt, các ứng dụng khóa màn hình không có biểu tượng trên màn hình chính, khiến người dùng gần như không thể nhận ra chúng đang tồn tại.

Một chi tiết đáng chú ý là cách mã độc đối phó với Google Play Protect: ngay trước mỗi lần cài ứng dụng mới, nó vô hiệu hóa Google Play Store — theo các nhà nghiên cứu, mục đích là ngăn hệ thống bảo vệ của Android kiểm tra ứng dụng sắp được đưa vào máy. Cài đặt xong (dù thành công hay thất bại), Play Store lại được bật lên. Một số phiên bản còn giả mạo nguồn cài đặt, khiến thông tin ứng dụng hiển thị Google Play là nơi cung cấp, làm người dùng tưởng chính mình đã tải từ cửa hàng chính thức.

Lý do cần đến hàng chục ứng dụng nằm ở tiền quảng cáo. Mã độc có thể tự hiển thị quảng cáo toàn màn hình hoặc phủ lên nội dung đang xem, rồi tự động nhấp vào quảng cáo mà không cần thao tác của chủ sở hữu. Khoảng một phút sau khi quảng cáo xuất hiện, nó ghi nhận một hành động chuyển đổi (conversion), khiến hệ thống quảng cáo tưởng rằng có người thật tương tác. Các màn hình quảng cáo này dùng cơ chế FLAG_SECURE của Android để chặn chụp ảnh màn hình và quay video, gây khó khăn cho việc quan sát hoạt động bên trong.

Điện thoại của bạn có thể bị biến thành máy chủ proxy không?

Có — ít nhất là ở cấp độ khả năng. Một ứng dụng ẩn tên Locket, thực chất là ứng dụng khóa màn hình không biểu tượng, được thiết kế để đăng ký thiết bị vào mạng lưới proxy. Khi đó, lưu lượng Internet của người khác có thể đi qua kết nối mạng của chiếc điện thoại này; website ở phía nhận sẽ nhìn thấy kết nối của chủ sở hữu thiết bị thay vì người thực sự gửi yêu cầu, và những tài nguyên mạng như vậy có thể được bán cho bên thứ ba.

Tuy nhiên cần phân biệt rõ: theo Bitdefender, chiếc điện thoại thử nghiệm của họ đã đăng ký kết nối, nhưng máy chủ mà thiết bị liên lạc thực chất là một sinkhole — máy chủ được kiểm soát để thu thập và theo dõi lưu lượng độc hại. Không có lưu lượng Internet thực tế nào được chuyển tiếp qua chiếc điện thoại trong thử nghiệm này.

Những quyền nguy hiểm nào đã được chuẩn bị sẵn?

Khả năng của mã độc còn đáng lo hơn những gì được quan sát trực tiếp. Nó tự cấp quyền Accessibility — cho phép đọc nội dung trên màn hình và thực hiện thao tác chạm thay người dùng; có khả năng truy cập thông báo, đọc và ghi tin nhắn SMS. Điều này đặc biệt nguy hiểm vì thông báo thường chứa mã OTP và mã xác thực đăng nhập: nếu bị khai thác, các quyền này có thể trở thành công cụ hỗ trợ chiếm đoạt tài khoản. Mã độc còn thu thập IMEI, Android ID, địa chỉ MAC, mã quốc gia của SIM, múi giờ, model điện thoại, phiên bản Android và danh sách ứng dụng người dùng đã cài.

Theo Bitdefender, những quyền truy cập này đã được chuẩn bị sẵn để phục vụ các hoạt động tiếp theo, nhưng báo cáo không ghi nhận chúng được sử dụng thực tế; đáng chú ý, quyền Accessibility và quyền truy cập thông báo liên tục được bật rồi tắt. Nói cách khác, mức độ nguy hiểm đã quan sát được chủ yếu nằm ở gian lận quảng cáo và cài ứng dụng trái phép — còn "kho vũ khí" cho các bước tấn công sâu hơn mới dừng ở trạng thái sẵn sàng.

Người dùng đã phát hiện ra nó như thế nào?

Điều thú vị là người dùng đã phát hiện dấu hiệu bất thường trước cả khi Bitdefender công bố. Ngày 2/7/2026, một chủ sở hữu Cubot KINGKONG X chạy Android 16 đăng câu hỏi trên diễn đàn XDA về ứng dụng com.android.sys.extplv: phần mềm diệt virus liên tục cảnh báo, ứng dụng tự nhận là System, yêu cầu quyền tin nhắn, danh bạ, tài khoản — và Android hiển thị Google Play là nguồn cài đặt. Chỉ trong một tuần, nhiều người dùng khác báo cáo tình trạng tương tự trên điện thoại Doogee và Cubot trong cùng chủ đề.

Một chủ sở hữu Doogee Fire 3 Ultra phát hiện mã độc có khả năng tự ẩn mình: khi bật USB Debugging và kết nối với máy tính, ứng dụng gần như lập tức biến mất; rút cáp ra, vài giờ sau nó xuất hiện trở lại. Việc xóa cũng không giải quyết được vấn đề: vô hiệu hóa qua ADB thì chỉ sau hai ngày nó tự kích hoạt lại, và ngay cả khôi phục cài đặt gốc cũng không ngăn được nó quay lại — đúng với bản chất của mã độc nằm trong firmware.

Một trường hợp nặng hơn được một người dùng Cubot kể lại ngày 4/8: tài khoản Telegram bị chiếm quyền kiểm soát (kẻ tấn công bật xác thực hai yếu tố, đổi email liên kết, tìm cách chuyển WhatsApp sang thiết bị khác), và hóa đơn điện thoại cho thấy thiết bị tự gửi khoảng 30 tin nhắn SMS đến các số trong nước từ ngày 25/7 vào những thời điểm ngẫu nhiên. Cần nhấn mạnh đây chỉ là lời kể của một cá nhân, chưa được xác minh độc lập — dù các tình tiết có điểm phù hợp với những quyền mà mã độc có thể tự cấp.

Mã độc còn đến qua chính bản cập nhật firmware?

Đáng chú ý, một số điện thoại không bị nhiễm qua ứng dụng tải về mà qua chính bản cập nhật phần mềm từ nhà sản xuất. Một chủ sở hữu Doogee Fire 3 Max đã truy ra phiên bản firmware bị nhiễm: bản cập nhật DOOGEE-Fire 3 Max-EEA-Android15.0-20260616, dung lượng 373 MB, phát hành ngày 15/6/2026 từ máy chủ fota5p.adups.com. Trong phiên bản này, mã độc hoạt động dưới tên Android System với package com.android.non.szcz; đến ngày 5/8, người dùng cho biết bản cập nhật vẫn còn được cung cấp trực tuyến.

Về phía nhà sản xuất, Cubot từng giải thích qua email với một khách hàng vào tháng 7 rằng một giao diện phát triển chỉ dành cho kiểm thử kỹ thuật đã vô tình bị đưa vào firmware sản xuất hàng loạt; công ty nói phiên bản firmware đã được làm sạch và vượt qua chứng nhận bảo mật của Google. Tuy vậy, những gì Bitdefender phát hiện — hàng chục ứng dụng luân phiên, gian lận quảng cáo, proxy, cơ chế né Play Protect — khó khớp với hình ảnh "một giao diện kiểm thử bị bỏ quên" đơn thuần.

Sau khi chiến dịch bị công bố, Cubot phát hành bản cập nhật cho KingKong 9 và KingKong X vào tháng 7 và người dùng cho biết ứng dụng độc hại đã biến mất. Doogee cũng thông báo đã khắc phục bằng bản cập nhật phần mềm; firmware phát hành ngày 31/7/2026 trên Fire 3 Max được một người dùng kiểm tra cho kết quả sạch và giữ trạng thái đó ít nhất đến ngày 24/8.

Vậy ai đã đưa mã độc vào điện thoại? Đến nay câu trả lời vẫn chưa rõ ràng. Firmware trên một số thiết bị bị ảnh hưởng được ký bằng chứng chỉ mà các nhà nghiên cứu truy nguyên đến Shenzhen Zediel Co., Ltd. — nhưng điều này không chứng minh công ty đó đã viết mã độc hoặc biết về sự tồn tại của nó; mã độc cũng xuất hiện trên những điện thoại không dùng firmware liên quan. Nó có thể được đưa vào tại nhà máy lắp ráp, đơn vị phát triển firmware, đối tác cung ứng phần mềm hoặc một mắt xích khác trong chuỗi cung ứng. Hạ tầng điều khiển của chiến dịch cũng có "tiền sử": hai máy chủ từng xuất hiện trong dữ liệu của Dr.Web liên quan đến một trojan gian lận quảng cáo cuối năm 2025 (giấu trong bản sao game phong cách Minecraft và GTA phân phối qua cửa hàng ứng dụng của Xiaomi, ban đầu sạch rồi bị cài mã độc qua cập nhật), và chiến dịch còn dùng một tên miền từng xuất hiện trong hoạt động của mã độc Joker năm 2021.

Cùng mã gian lận quảng cáo còn có mặt trong 13 ứng dụng trên Google Play?

Vấn đề không dừng ở điện thoại cài sẵn mã độc. Bitdefender còn tìm thấy cùng đoạn mã gian lận quảng cáo trong 13 ứng dụng trên Google Play. Các ứng dụng này không có quyền hệ thống như phiên bản tích hợp firmware, nhưng vẫn giao tiếp với cùng máy chủ độc hại. Theo lần kiểm tra ngày 10/10 được bài gốc trích dẫn, cả 13 ứng dụng vẫn còn trên Google Play với tổng cộng hơn 1,4 triệu lượt tải tối thiểu; riêng Daily Weather vượt một triệu lượt tải.

Danh sách 13 ứng dụng được cảnh báo: Daily Weather, CoolWeather, WeatherGo, Lock & Hide, All Deleted Messages Recovery, App Icon DIY, Audify, Wavrge, QuickText Extractor, NoteMaster, QR Pocket, Tap to Translate và Tasky. Nếu điện thoại của bạn có một trong các ứng dụng này, nên gỡ cài đặt.

Khía cạnh	Phiên bản cài sẵn trong firmware	Phiên bản trong 13 ứng dụng Google Play
Đường vào thiết bị	Có sẵn trong phần mềm hệ thống từ nhà máy, hoặc qua bản cập nhật firmware	Người dùng tự tải từ Google Play
Quyền hạn	Cấp hệ thống: cài/gỡ ứng dụng, tự cấp quyền, chạy mã tải từ xa	Quyền ứng dụng thông thường, không có đặc quyền hệ thống
Khả năng gỡ bỏ	Không có nút gỡ thông thường; khôi phục cài đặt gốc không triệt để	Gỡ cài đặt như ứng dụng bình thường
Hoạt động độc hại	Cài 32 ứng dụng luân phiên, gian lận quảng cáo, đăng ký proxy, chuẩn bị quyền Accessibility/SMS	Chứa cùng mã gian lận quảng cáo, liên lạc cùng máy chủ điều khiển

Đây có phải lần đầu mã độc nằm trong phần mềm xuất xưởng?

Không. Midnight Mimosa là mắt xích mới nhất trong một chuỗi dài các vụ mã độc chuỗi cung ứng trên thiết bị Android:

Thời điểm	Vụ việc	Đơn vị phát hiện/cảnh báo	Nội dung chính
Tháng 11/2016	BLU R1 HD tích hợp phần mềm cập nhật của Shanghai Adups Technology	Kryptowire	Phần mềm xuất xưởng gửi nội dung tin nhắn, danh bạ, lịch sử cuộc gọi, IMSI, IMEI về máy chủ tại Thượng Hải; có thể cài ứng dụng từ xa
Tháng 4/2025	Trojan Triada trong firmware điện thoại giả mạo thương hiệu nổi tiếng	Kaspersky	Hơn 4.500 thiết bị bị ảnh hưởng; hơn 264.000 USD tiền mã hóa bị đánh cắp
Tháng 6/2025	BADBOX 2.0	FBI	Hàng triệu TV Box, máy chiếu, màn hình ô tô, khung ảnh số bị nhiễm trước khi đến tay người mua hoặc trong lúc thiết lập, rồi bị biến thành nút proxy cho thuê
Tháng 2/2026	Cửa hậu Keenadu trong firmware máy tính bảng Android	Kaspersky	Một số thiết bị nhận firmware nhiễm mã độc qua bản cập nhật có chữ ký số hợp lệ
2026	Midnight Mimosa trên điện thoại Doogee, Cubot và máy nhái	Bitdefender	Cài sẵn trong firmware, 32 ứng dụng luân phiên, gian lận quảng cáo, khả năng proxy

Làm thế nào để kiểm tra và làm sạch điện thoại?

Bước đầu tiên: cài bản cập nhật phần mềm mới nhất từ nhà sản xuất trước khi kiểm tra — cả Cubot và Doogee đều đã phát hành firmware làm sạch cho các mẫu liên quan theo ghi nhận của người dùng. Sau đó, có thể dùng ADB để tìm các package đáng ngờ bằng lệnh:

adb shell "pm list packages | grep -E 'system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|sys.extplv|weiapps|weapps|non.szcz|com.mobile.applock'"

Nếu tìm thấy package đáng ngờ, có thể thử vô hiệu hóa nó (thay tên package trong lệnh bằng package thực tế phát hiện trên thiết bị của bạn):

adb shell pm disable-user --user 0 com.android.sys.extplv

Cần hiểu rõ giới hạn của cách này: vô hiệu hóa qua ADB không đảm bảo loại bỏ hoàn toàn — một số phiên bản tự ẩn khi phát hiện kết nối USB và tự kích hoạt trở lại sau một thời gian, và khôi phục cài đặt gốc cũng không giải quyết được nếu firmware vẫn chứa thành phần độc hại. Theo các nhà nghiên cứu, làm sạch triệt để cần xử lý ở tầng firmware hoặc vô hiệu hóa thành phần độc hại qua ADB; với phần lớn người dùng, giải pháp thực tế là cài firmware chính thức đã được làm sạch, hoặc thay thế thiết bị nếu mã độc tiếp tục quay lại.

Nếu dùng Pi-hole hoặc router hỗ trợ chặn tên miền, có thể chặn hai địa chỉ được xác định trong chiến dịch: api.weatherlive.world (máy chủ nhận lệnh và báo cáo hoạt động gian lận quảng cáo) và oss.showtimetool.com (máy chủ cung cấp các module cho mã độc).

Câu hỏi thường gặp

Điện thoại của tôi có thuộc diện bị ảnh hưởng không?

Theo Bitdefender, các mẫu bị ghi nhận nhiều nhất là Doogee S200 X và Cubot KINGKONG X — điện thoại siêu bền giá rẻ dùng chip MediaTek — cùng một số máy nhái tự nhận là S25 Ultra, S26 Ultra, Note 18 Ultra, i17 Pro Max và các thiết bị nhận firmware qua máy chủ fota5p.adups.com như Doogee Fire 3 Max. Cách chắc chắn nhất là cập nhật firmware mới nhất rồi kiểm tra package bằng lệnh ADB trong bài.

Tôi không cài ứng dụng lạ nào, sao vẫn dính mã độc?

Vì với Midnight Mimosa, mã độc không đến từ ứng dụng bạn cài mà nằm sẵn trong phần mềm hệ thống từ nhà máy, hoặc được đưa vào qua một bản cập nhật firmware của nhà sản xuất. Nó có quyền hệ thống, không có nút gỡ cài đặt thông thường và có thể tự cài thêm phần mềm mà không cần bạn đồng ý — các thói quen an toàn thông thường như không bấm link lạ không ngăn được loại lây nhiễm này.

Khôi phục cài đặt gốc (factory reset) có xóa được mã độc không?

Không nhất thiết. Người dùng Doogee Fire 3 Ultra ghi nhận mã độc quay lại sau khôi phục cài đặt gốc và tự kích hoạt lại sau hai ngày dù đã vô hiệu hóa qua ADB — vì thành phần độc hại nằm trong firmware, phần không bị xóa khi reset máy. Giải pháp triệt để là cài firmware chính thức đã được nhà sản xuất làm sạch.

Mã độc đã lấy cắp tài khoản hay tiền của người dùng chưa?

Theo báo cáo của Bitdefender, hoạt động được quan sát thực tế chủ yếu là gian lận quảng cáo và cài ứng dụng trái phép; các quyền nguy hiểm như Accessibility, đọc thông báo và SMS mới ở trạng thái chuẩn bị sẵn, chưa ghi nhận bị sử dụng. Trường hợp một người dùng Cubot kể bị chiếm tài khoản Telegram và bị tự gửi khoảng 30 SMS là lời kể cá nhân chưa được xác minh độc lập. Riêng trong thử nghiệm proxy, thiết bị của Bitdefender kết nối tới sinkhole nên không có lưu lượng thật nào bị chuyển tiếp.

Shenzhen Zediel có phải là thủ phạm đứng sau Midnight Mimosa?

Chưa thể kết luận. Các nhà nghiên cứu truy nguyên chứng chỉ ký firmware của một số thiết bị bị ảnh hưởng đến Shenzhen Zediel Co., Ltd., nhưng chữ ký đó không chứng minh công ty này viết mã độc hay biết về nó; mã độc còn xuất hiện trên điện thoại không dùng firmware liên quan. Điểm cài cắm có thể nằm ở bất kỳ mắt xích nào trong chuỗi cung ứng — nhà máy lắp ráp, đơn vị phát triển firmware hoặc đối tác phần mềm.

Kết luận

Nhiều năm qua, người dùng Android được khuyến cáo không cài ứng dụng từ nguồn lạ, không nhấn liên kết đáng ngờ và thường xuyên kiểm tra điện thoại. Midnight Mimosa đặt ra một vấn đề hoàn toàn khác: khi mã độc đã nằm trong firmware trước khi thiết bị được bán ra, người dùng gần như không có lỗi gì để tránh. Một chiếc điện thoại còn nguyên seal, có chứng nhận phần mềm, có Google Play và chạy Android tưởng như bình thường vẫn có thể chứa thành phần độc hại có quyền hệ thống. Bài học thực tế: với điện thoại giá rẻ từ các thương hiệu ít tên tuổi — đặc biệt là máy nhái các dòng cao cấp — hãy ưu tiên cập nhật firmware chính thức mới nhất, kiểm tra định kỳ các package lạ bằng ADB, và cân nhắc kỹ trước khi dùng máy cho các tài khoản quan trọng như ngân hàng hay email chính. Trong trường hợp này, người dùng không cài nhầm mã độc — họ đã mua phải một chiếc điện thoại có mã độc ngay từ đầu.

Nguồn: bài giới thiệu và tổng hợp của trang Học lập trình cho người mới bắt đầu trên Facebook (07/11/2026), dựa trên các nguồn Bitdefender Labs, XDA Developers, Dr.Web, Kryptowire, Kaspersky và FBI; biên tập và hệ thống hóa bởi Wotech Electronics. Các lời kể của từng người dùng (như vụ chiếm tài khoản Telegram) là trải nghiệm cá nhân, chưa được xác minh độc lập.