Midnight Mimosa：预装在 Doogee、Cubot 安卓手机中的恶意软件——静默安装 32 款应用、广告欺诈并把手机变成代理节点

用户没有做错任何事——没装来路不明的应用，没点可疑链接——但恶意软件在手机离开工厂时就已经藏在系统软件里。这就是 Midnight Mimosa 的本质：Bitdefender 研究人员 Adrian Mihai Gozob 与 Alex Baciu 于 10 月 8 日披露的这场大规模安卓恶意软件活动，波及 150 多个国家的数千台设备，主要是 Doogee 和 Cubot 的廉价三防手机；一个拥有系统权限的恶意组件被预装进固件，在约两年时间里静默安装另外 32 款应用、实施广告欺诈，并准备把每台手机变成代理节点。

快速回答

• Midnight Mimosa 是预装在固件层面的安卓恶意软件活动，由 Bitdefender 于 10 月 8 日披露；最初被发现的组件包名为 com.android.system.lite，伪装成安卓核心组件，却拥有系统级权限。
• 规模（据 Bitdefender）：约两年内波及 150 多个国家的数千台设备；墨西哥、法国和意大利受影响设备最多；最常见的两款机型是 Doogee S200 X 和 Cubot KINGKONG X，均为基于联发科芯片的三防手机。
• 该恶意软件会轮换安装和卸载至少 32 款应用（天气、锁屏、文件管理、图标制作、文字提取、音频编辑等工具类应用）；每次安装前它会禁用 Google Play 商店以绕过 Play Protect，安装后再重新启用，部分变种还会把安装来源伪造为 Google Play。
• 主要收入来源是广告欺诈：它自行弹出全屏广告、自动点击，并在约一分钟后记录一次虚假转化，同时利用安卓的 FLAG_SECURE 机制阻止截屏；它还能通过一个名为 Locket 的隐藏应用把手机注册进代理网络。
• 它为自己授予了危险权限——无障碍（Accessibility）、通知访问、短信读写——并收集 IMEI、Android ID、MAC 地址和已安装应用列表；据 Bitdefender，这些权限只是预先准备好，报告并未记录它们被实际使用。
• 实际处理办法：安装厂商发布的最新版已清理固件（据用户反馈，Cubot 和 Doogee 都已发布修复），用 ADB 检查可疑包名并在必要时禁用；恢复出厂设置并不足够，因为恶意软件存在于固件之中。

Midnight Mimosa 是什么，它如何运作？

Midnight Mimosa 是 Bitdefender 为一场恶意软件活动起的名字：恶意组件在手机到达用户手中之前就被预装进系统软件。Bitdefender 的安全系统最初发现了一个名为 com.android.system.lite 的应用——表面上与安卓核心组件毫无区别。行为分析显示，它在未经机主同意的情况下静默安装和卸载其他软件。

由于被集成进系统软件，该组件的行为不像普通应用：它可以安装、卸载应用，为自己授予权限，并执行从远程控制服务器下载的代码。它顶着一个像官方组件的名字，拥有系统权限，且没有常规的卸载按钮——机主只需拆开包装、开机、选择语言并登录 Google 账号，它就可能开始工作。

除最普遍的 Doogee S200 X 和 Cubot KINGKONG X 外，研究人员还记录到自称为 S25 Ultra、S26 Ultra、Note 18 Ultra 或 i17 Pro Max 的设备；有些手机甚至上报了与三星真实产品相同的型号代码，而三星从未生产过这些机型——这是山寨品牌设备的典型特征。

32 款轮换应用和广告欺诈是怎么运作的？

据 Bitdefender 统计，该恶意软件会在手机上轮换安装至少 32 款不同的应用。它们伪装成熟悉的工具：天气应用、锁屏、文件管理器、图标制作、图片转文字和音频编辑。值得注意的是，锁屏类应用在主屏幕上没有图标，用户几乎无法察觉它们的存在。

一个引人注目的细节是它对付 Google Play Protect 的方式：每次安装新应用之前，它会先禁用 Google Play 商店——研究人员认为目的是阻止安卓的防护系统审查即将装入的应用。安装结束（无论成功还是失败）后，Play 商店会被重新打开。部分变种还会伪造安装来源，使应用信息显示为由 Google Play 提供，让用户以为是自己从官方商店下载的。

需要几十款应用的原因在于广告收入。该恶意软件能自行显示全屏广告或覆盖在当前内容之上，然后自动点击广告，无需机主任何操作。广告出现约一分钟后，它记录一次转化（conversion）事件，让广告系统误以为有真人与内容互动。这些广告界面使用安卓的 FLAG_SECURE 机制阻止截屏和录屏，使外界更难观察其内部活动。

你的手机会被变成代理服务器吗？

会——至少在能力上如此。一个名为 Locket 的隐藏应用，实际上是一款无图标的锁屏应用，被设计用来把设备注册进代理网络。届时，他人的互联网流量可以经由这台手机的网络连接中转；接收方网站看到的是机主的连接，而不是真正的请求者，而这类网络资源可以被出售给第三方。

但必须分清一个细节：据 Bitdefender，他们用于测试的手机确实完成了一次连接注册，但它通信的服务器实际上是一个 sinkhole（蜜罐式受控服务器，用于收集和追踪恶意流量）。在那次测试中，没有任何真实互联网流量经由该手机中转。

它预先准备了哪些危险权限？

该恶意软件的能力比直接观察到的更令人担忧。它为自己授予无障碍权限——可读取屏幕内容并代替用户执行点击操作；还能访问通知、读写短信。这尤其危险，因为通知中常包含 OTP 验证码和登录验证码：一旦被利用，这些权限可辅助实施账号盗用。它还会收集 IMEI、Android ID、MAC 地址、SIM 卡国家代码、时区、手机型号、安卓版本和用户已安装的应用列表。

据 Bitdefender，这些访问权限是为后续活动预先准备的，但报告没有记录它们被实际使用；值得注意的是，无障碍和通知访问权限被反复开启又关闭。换句话说，已观察到的危害主要是广告欺诈和未经授权安装应用——而用于更深层攻击的"工具箱"只是处于待命状态。

用户是如何发现它的？

有趣的是，用户在 Bitdefender 披露之前就察觉了异常。2026 年 7 月 2 日，一位运行 Android 16 的 Cubot KINGKONG X 机主在 XDA 论坛发帖询问应用 com.android.sys.extplv：杀毒软件不断报警，该应用自称 System，要求访问短信、通讯录和账号——而安卓显示其安装来源为 Google Play。仅仅一周内，同一主题下多位用户报告了 Doogee 和 Cubot 手机上的类似情况。

一位 Doogee Fire 3 Ultra 机主发现该恶意软件会自我隐藏：开启 USB 调试并连接电脑时，它几乎立刻消失；拔掉数据线几小时后又重新出现。删除也解决不了问题：通过 ADB 禁用后仅两天它就自行重新激活，甚至恢复出厂设置也无法阻止它回来——这与固件级恶意软件的特性完全吻合。

一位 Cubot 用户在 8 月 4 日讲述了更严重的个案：其 Telegram 账号被接管（攻击者开启了两步验证、更改了绑定邮箱，并试图把 WhatsApp 转移到另一台设备），手机账单显示设备自 7 月 25 日起在随机时间自行发送了约 30 条国内短信。必须强调，这只是单个个人的讲述，未经独立核实——尽管其细节与该恶意软件能为自己授予的权限相吻合。

恶意软件还通过厂商自己的固件更新传播？

值得注意的是，一些手机不是经由下载的应用感染，而是经由厂商自己的软件更新。一位 Doogee Fire 3 Max 机主追溯到了被感染的固件版本：更新包 DOOGEE-Fire 3 Max-EEA-Android15.0-20260616，大小 373 MB，2026 年 6 月 15 日发布，来自服务器 fota5p.adups.com。在该版本中，恶意软件以 Android System 之名运行，包名为 com.android.non.szcz；截至 8 月 5 日，该用户称这一更新仍在线提供。

厂商方面，Cubot 曾在 7 月通过邮件向一位客户解释称，一个仅供工程测试的开发界面被意外带入了量产固件；公司表示固件已被清理并通过了 Google 的安全认证。然而 Bitdefender 发现的内容——几十款轮换应用、广告欺诈、代理功能、绕过 Play Protect 的机制——很难与"一个遗忘的测试界面"这一说法对应。

活动被披露后，Cubot 于 7 月为 KingKong 9 和 KingKong X 发布了更新，用户反馈恶意应用已经消失。Doogee 同样宣布通过软件更新修复；2026 年 7 月 31 日为 Fire 3 Max 发布的固件经一位用户检查为干净，并至少保持到 8 月 24 日。

那么，究竟是谁把恶意软件放进了手机？答案至今不明。部分受影响设备上的固件由研究人员追溯到 Shenzhen Zediel Co., Ltd. 的证书签名——但这并不能证明该公司编写了恶意软件或知道它的存在；恶意软件也出现在未使用相关固件的手机上。它可能在组装工厂、固件开发商、软件供应合作伙伴或供应链的其他环节被植入。该活动的控制基础设施也有"前科"：两台服务器曾出现在 Dr.Web 与 2025 年末一个广告欺诈木马相关的数据中（该木马藏在通过小米应用商店分发的 Minecraft、GTA 风格游戏克隆中，起初干净、后经更新植入恶意代码），该活动还使用了一个曾出现在 2021 年 Joker 恶意软件活动中的域名。

同样的广告欺诈代码也存在于 Google Play 的 13 款应用中？

问题并不止于出厂预装的手机。Bitdefender 还在 Google Play 的 13 款应用中发现了相同的广告欺诈代码。这些应用没有固件集成变种的系统权限，但与相同的恶意服务器通信。据原帖引用的 10 月 10 日检查结果，这 13 款应用当时仍在 Google Play 上，合计最低下载量超过 140 万次；仅 Daily Weather 一款就超过 100 万次下载。

被点名的 13 款应用是：Daily Weather、CoolWeather、WeatherGo、Lock & Hide、All Deleted Messages Recovery、App Icon DIY、Audify、Wavrge、QuickText Extractor、NoteMaster、QR Pocket、Tap to Translate 和 Tasky。如果你的手机装有其中任何一款，请卸载它。

维度	固件预装变种	Google Play 13 款应用中的变种
进入设备的方式	出厂时内置于系统软件，或经固件更新下发	用户从 Google Play 自行下载
权限级别	系统级：安装/卸载应用、自我授权、运行远程下载的代码	普通应用权限，无系统特权
可否移除	无常规卸载方式；恢复出厂设置不彻底	像普通应用一样卸载
恶意行为	安装 32 款轮换应用、广告欺诈、注册代理、预备无障碍/短信权限	包含相同广告欺诈代码、连接相同控制服务器

这是第一次在出厂软件中发现恶意软件吗？

不是。Midnight Mimosa 是安卓供应链恶意软件长链中的最新一环：

时间	事件	披露/警告方	要点
2016 年 11 月	BLU R1 HD 内置 Shanghai Adups Technology 的更新软件	Kryptowire	出厂软件可将短信内容、通讯录、通话记录、IMSI、IMEI 发送到上海的服务器；还能远程安装应用
2025 年 4 月	Triada 木马植入山寨品牌手机固件	Kaspersky	超过 4,500 台设备受影响；超过 264,000 美元加密货币被盗
2025 年 6 月	BADBOX 2.0	FBI	数百万台电视盒子、投影仪、车载显示屏和数码相框在购买前或设置过程中被感染，随后被出租为代理节点
2026 年 2 月	Keenadu 后门植入安卓平板固件	Kaspersky	部分设备通过带有有效数字签名的更新收到被感染固件
2026 年	Midnight Mimosa 出现在 Doogee、Cubot 及山寨手机上	Bitdefender	固件预装、32 款轮换应用、广告欺诈、代理能力

如何检查并清理你的手机？

第一步：在检查之前先安装厂商发布的最新软件更新——据用户反馈，Cubot 和 Doogee 都为相关机型发布了已清理的固件。然后可用 ADB 通过以下命令查找可疑包名：

adb shell "pm list packages | grep -E 'system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|sys.extplv|weiapps|weapps|non.szcz|com.mobile.applock'"

如果发现可疑包名，可以尝试禁用它（请把命令中的包名替换为在你设备上实际检测到的包名）：

adb shell pm disable-user --user 0 com.android.sys.extplv

要清楚这一方法的局限：通过 ADB 禁用并不能保证彻底清除——某些变种在检测到 USB 连接时会隐藏，并在一段时间后自行重新激活；如果固件仍含恶意组件，恢复出厂设置也无济于事。据研究人员，彻底清理需要在固件层面处理，或通过 ADB 禁用恶意组件；对大多数用户来说，实际可行的方案是刷入官方已清理固件，或者在恶意软件反复出现时更换设备。

如果你使用 Pi-hole 或支持域名拦截的路由器，可以拦截该活动中确认的两个地址：api.weatherlive.world（接收指令并回传广告欺诈活动的服务器）和 oss.showtimetool.com（为恶意软件提供模块的服务器）。

常见问题

我的手机属于受影响设备吗？

据 Bitdefender，记录最多的机型是 Doogee S200 X 和 Cubot KINGKONG X——基于联发科芯片的廉价三防手机——以及自称为 S25 Ultra、S26 Ultra、Note 18 Ultra、i17 Pro Max 的山寨手机，和像 Doogee Fire 3 Max 这样经 fota5p.adups.com 服务器接收固件的设备。最可靠的办法是先升级到最新固件，再用本文的 ADB 命令检查包名。

我从没装过奇怪的应用，为什么还会中招？

因为就 Midnight Mimosa 而言，恶意软件并非来自你安装的应用，而是出厂时就藏在系统软件里，或经厂商固件更新下发。它拥有系统权限、没有常规卸载按钮，并能在未经你同意的情况下安装更多软件——不点可疑链接之类的日常安全习惯无法防住这类感染。

恢复出厂设置能清除它吗？

不一定。一位 Doogee Fire 3 Ultra 用户记录到，恶意软件在恢复出厂设置后依然回来，被 ADB 禁用两天后又自行激活——因为恶意组件位于固件中，而重置不会擦除固件。彻底的修复办法是刷入厂商官方已清理的固件。

它真的盗取过账号或钱财吗？

据 Bitdefender 的报告，实际观察到的活动主要是广告欺诈和未经授权安装应用；无障碍、通知和短信等危险权限只是预备状态，未记录被使用。那位称 Telegram 被盗、手机自行发出约 30 条短信的 Cubot 用户是个人的、未经独立核实的讲述。在代理测试中，Bitdefender 的设备连接的是 sinkhole，因此没有真实流量被中转。

Shenzhen Zediel 是 Midnight Mimosa 的幕后黑手吗？

不能这样下结论。研究人员把部分受影响设备固件的签名证书追溯到 Shenzhen Zediel Co., Ltd.，但该签名并不能证明这家公司编写了恶意软件或知道它存在；恶意软件也出现在未使用相关固件的手机上。植入点可能是供应链的任何环节——组装工厂、固件开发商或软件合作伙伴。

结语

多年来，安卓用户被反复告诫：不要安装未知来源的应用、不要点击可疑链接、要经常检查手机。Midnight Mimosa 提出了完全不同的问题：当恶意软件在设备售出之前就已存在于固件中时，用户几乎没有犯任何"错误"可供避免。一部手机可以是原厂密封、带软件认证、内置 Google Play、运行看似正常的安卓系统，却依然包含拥有系统权限的恶意组件。实际教训是：对于小众品牌的廉价手机——尤其是旗舰机型的山寨机——优先保持官方固件为最新，定期用 ADB 检查陌生包名，并在把这类设备用于银行、主邮箱等重要账号之前慎重考虑。在这个案例中，用户不是误装了恶意软件——他们是买到了一部从一开始就带着恶意软件的手机。

来源：Facebook 页面"Học lập trình cho người mới bắt đầu"的介绍与汇编帖（2026 年 11 月 7 日），基于 Bitdefender Labs、XDA Developers、Dr.Web、Kryptowire、Kaspersky 和 FBI 的材料；由 Wotech Electronics 编辑整理。单个用户的讲述（如 Telegram 被盗一事）属于未经独立核实的个人经历。