Mã độc Midnight Mimosa được cài sẵn trong firmware điện thoại Android, ảnh hưởng hơn 150 quốc gia

Điện thoại bị xâm nhập trước lần khởi động đầu tiên

Hàng nghìn thiết bị Android tại hơn 150 quốc gia đã bị ảnh hưởng bởi chiến dịch mã độc Midnight Mimosa. Chiến dịch này cài phần mềm độc hại vào firmware điện thoại trước khi người mua bật thiết bị. Bitdefender xác định ít nhất 32 ứng dụng ngụy trang được chiến dịch triển khai, cùng 13 ứng dụng trên Google Play chứa cùng mã gian lận quảng cáo và liên lạc với hạ tầng điều khiển của chiến dịch.

Các phát hiện được công bố ngày 8 tháng 10 năm 2026 và cập nhật ngày 9 tháng 10, mô tả hoạt động được ghi nhận trong khoảng hai năm. Những thiết bị bị ảnh hưởng gồm điện thoại giá rẻ dùng nền tảng MediaTek, sản phẩm giả mạo mượn tên mẫu máy của Apple và Samsung, cùng các thiết bị tự nhận là Doogee S200 X và Cubot KINGKONG X.

Phát hiện trọng tâm trong báo cáo kỹ thuật của Bitdefender là việc lây nhiễm không phụ thuộc vào chuyện người mua tải một ứng dụng đáng ngờ. Một thành phần hệ thống độc hại được cài sẵn trên thiết bị, có quyền hệ điều hành mạnh và có thể cài thêm phần mềm mà không cần hỏi chủ sở hữu.

Điều này khiến mối đe dọa đặc biệt khó loại bỏ. Xóa một ứng dụng thời tiết hoặc khóa ứng dụng không mong muốn có thể chỉ loại bỏ một phần dễ thấy của chiến dịch, trong khi thành phần đã cài ứng dụng đó vẫn còn nguyên. Các nhà nghiên cứu phát hiện những mã độc tải xuống liên tục xuất hiện rồi biến mất trên cùng thiết bị.

Cuộc điều tra cũng có những giới hạn. Nhóm nghiên cứu không xác định được ai đã đưa mã độc vào firmware. Họ tìm thấy mã có khả năng chuyển tiếp lưu lượng qua điện thoại bị nhiễm, nhưng thiết bị thử nghiệm không nhận được chỉ định chuyển tiếp nào. Các nhà vận hành có thể truy cập những quyền nhạy cảm, song nhóm nghiên cứu không quan sát thấy chúng được sử dụng trong quá trình phân tích.

Thành phần ẩn kiểm soát việc cài đặt

Cuộc điều tra bắt đầu khi công nghệ phát hiện hành vi của Bitdefender cảnh báo về com.android.system.lite. Tên gọi và nhãn System chung chung gợi ý đây là một thành phần Android thông thường, nhưng hành vi của nó lại khác: âm thầm cài đặt, gỡ bỏ các ứng dụng không liên quan và liên tục bật những quyền truy cập nhạy cảm.

Thành phần này không có biểu tượng trên màn hình ứng dụng. Nó được ký dành cho nền tảng Android, chạy dưới quyền người dùng hệ thống và được cấu hình để duy trì hoạt động. Các quyền của nó bao gồm cài gói ứng dụng, xóa gói ứng dụng, cấp quyền cho ứng dụng khác và thay đổi cài đặt bảo mật. Đây là những quyền vượt xa mức thông thường mà một ứng dụng do chủ điện thoại tải về có thể có.

Sau đó, các nhà nghiên cứu tìm thấy cùng lõi mã độc dưới những tên khác, gồm com.android.sys.prot, com.android.sys.gmsprot và com.android.sys.bcprot. Một gói khác do chủ điện thoại báo cáo, com.android.non.szcz, cũng được xác định thuộc cùng họ mã độc. Các bản dựng khác nhau sử dụng tên khác nhau và, trong một số trường hợp, chứng chỉ ký khác nhau.

Điều này quan trọng đối với việc phát hiện và xử lý: một tên gói không đại diện cho toàn bộ mối đe dọa. Điện thoại không có com.android.system.lite vẫn có thể chứa một phiên bản khác của cùng bộ công cụ. Hành vi và mã nền tảng dùng chung là dấu hiệu nhận diện hữu ích hơn nhãn hiển thị trong danh sách ứng dụng Android.

Mã từ xa thay đổi cách điện thoại hoạt động

Phần lớn logic độc hại được ẩn trong một thư viện gốc có tên libeasy.so, thay vì hiển thị trong mã thông thường của ứng dụng hệ thống. Khi khởi tạo, thư viện dùng mã hóa RC4 để che giấu rồi giải mã một framework nhúng có dung lượng khoảng 142 KB.

Framework này lấy cấu hình từ máy chủ điều khiển, tức dịch vụ từ xa mà qua đó các nhà vận hành chỉ đạo thiết bị bị nhiễm. Nó có thể tải xuống và nạp các tệp DEX và JAR, là những định dạng dùng để đóng gói mã thực thi Android và Java. Nhờ vậy, các nhà vận hành có thể thay đổi hành vi của thiết bị sau khi máy được bán ra.

Các nhà nghiên cứu xác định ba họ plugin. Một họ, gắn với com.wz.sdk.DxFactory, xử lý lượt hiển thị và lượt nhấp quảng cáo giả. Hai họ còn lại, gắn với com.earnsdk.lib.DxFactory và com.gogo.third.lib.DxFactory, hỗ trợ âm thầm cài đặt và gỡ bỏ ứng dụng khác; họ sau còn có chức năng WebView.

Do đó, thành phần hệ thống đóng vai trò bộ điều khiển thường trực, chứ không chỉ là một mã độc quảng cáo đơn lẻ với chức năng cố định. Xóa mã độc tải xuống hôm nay không ngăn nó tải mã khác vào ngày mai. Khả năng nạp mã từ xa kết hợp với quyền cấp phép đặc biệt cũng đồng nghĩa phạm vi hoạt động tiềm tàng rộng hơn những gì cuộc điều tra ghi nhận.

Ứng dụng ngụy trang biến lượt nhấp giả thành doanh thu

Mục đích chính có vẻ là kiếm tiền. Các nhà nghiên cứu tìm thấy ít nhất 32 ứng dụng tải xuống riêng biệt được ngụy trang thành tiện ích thời tiết, khóa ứng dụng, quản lý tệp, công cụ biểu tượng, công cụ nhận dạng văn bản và trình chỉnh sửa âm thanh. Một số có chức năng thực sự, còn số khác không thực hiện đáng kể tác vụ như tên gọi gợi ý.

Ví dụ, com.mobile.applock.wt tự giới thiệu là công cụ khóa ứng dụng nhưng không có giao diện và mã cần thiết để cung cấp chức năng đó. Ứng dụng bị ẩn với người dùng và đóng vai trò một chương trình phát tán mã độc khác, tức chương trình đưa thêm phần mềm độc hại vào thiết bị. Các mã độc tải xuống khác được xác định gồm com.dmstudio.weather, com.dl.guard.lock và picturetranslate.extractor.text.lite.

Các ứng dụng bình phong tích hợp bộ công cụ phát triển phần mềm quảng cáo (SDK) hợp pháp. Đây là những công cụ cho phép ứng dụng hiển thị quảng cáo và nhận tiền từ hoạt động quảng cáo. Sự hiện diện của chúng giúp lưu lượng gian lận gắn với một ứng dụng và mã định danh quảng cáo để ghi nhận doanh thu.

Các nhà nghiên cứu bảo mật của Bitdefender, Adrian Mihai Gozob và Alex Baciu, mô tả cách phân chia vai trò giữa thành phần hệ thống thường trực và các ứng dụng bình phong:

Bản thân ứng dụng hệ thống không ghi nhận các lượt hiển thị và nhấp quảng cáo gian lận.

Bộ điều khiển cung cấp chỉ thị, thời điểm và tương tác giả lập, còn mã định danh quảng cáo thuộc về các ứng dụng bình phong. Các ứng dụng liên lạc qua những dịch vụ dùng chung và gửi cùng một mã định danh thiết bị đến hạ tầng, trong đó có dịch vụ điều khiển ngụy trang thành API thời tiết. Cách này liên kết những tiện ích tưởng như riêng biệt thành một chiến dịch quảng cáo phối hợp.

Phân tích kỹ thuật phát hiện các lượt nhấp tự động không cần người dùng chạm, mục tiêu quảng cáo được chọn ngẫu nhiên, giới hạn theo ngày và khoảng cách giữa các tương tác giả lập. Nhóm nghiên cứu cũng phát hiện việc tự động báo cáo chuyển đổi sau bộ đếm 60 giây. Những cơ chế này giúp điều tiết hoạt động giả thay vì tạo ra một dòng sự kiện giống hệt nhau liên tục.

Google Play vừa là mục tiêu né tránh, vừa là kênh phát tán

Trước khi triển khai mã độc tải xuống, phần mềm độc hại tạm thời vô hiệu hóa com.android.vending, ứng dụng Google Play Store. Sau đó, nó khôi phục ứng dụng và có cơ chế bảo đảm khôi phục khi người dùng đang sử dụng thiết bị. Bitdefender đánh giá đây có khả năng là nỗ lực né tránh phát hiện của Play Protect, chứ không phải bằng chứng rằng mọi lần cài đặt đều thoát khỏi quá trình quét.

Một số biến thể còn thao túng bản ghi trình cài đặt của Android, khiến phần mềm do mã độc cài đặt trông như được tải từ Google Play. Cách ngụy trang này có thể khiến một ứng dụng lạ bớt đáng ngờ khi chủ sở hữu kiểm tra nguồn gốc của nó.

Cơ chế quảng cáo sử dụng các bề mặt gồm hoạt động được mở khi người dùng không yêu cầu và lớp phủ đặt lên trên ứng dụng khác. Một bề mặt quảng cáo được đánh dấu là bảo mật, khiến nó không xuất hiện trong ảnh chụp màn hình hoặc bản ghi màn hình. Báo cáo mô tả cả hoạt động quảng cáo ẩn lẫn nội dung hiển thị gây phiền nhiễu, do đó không nên hiểu chiến dịch này chỉ hoạt động vô hình.

Google Play cũng là một kênh phát tán riêng. Các nhà nghiên cứu xác định 13 ứng dụng đã phát hành có chứa cùng mã gian lận quảng cáo và liên lạc với hạ tầng Midnight Mimosa. Chúng sử dụng 13 chứng chỉ ký riêng biệt và ít nhất hai tài khoản nhà phát triển, có tên fivedev và CPS Developer.

Những ứng dụng trên cửa hàng này không có quyền nâng cao như các thành phần hệ thống được cài sẵn. Đây là khác biệt đáng kể: tải một ứng dụng như vậy không tự động trao cho nó quyền cài đặt âm thầm như thành phần firmware bị xâm nhập. Tuy vậy, chúng vẫn có thể hiển thị quảng cáo bên ngoài giao diện của chính mình, kể cả khi chủ sở hữu không chủ động sử dụng điện thoại.

Ít nhất một số ứng dụng liên quan được cho là vẫn còn trên cửa hàng khi các phát hiện được đưa tin, và Google chưa phản hồi ngay yêu cầu bình luận. Chưa có lịch trình gỡ bỏ nào được xác nhận ở đây. Các phát hiện trên Google Play cho thấy nguy cơ không chỉ giới hạn ở phần cứng giả mạo hoặc điện thoại đã bị xâm nhập từ khâu sản xuất.

Đã ghi nhận đăng ký proxy, chưa ghi nhận chuyển tiếp lưu lượng thực tế

Một mã độc tải xuống khác, com.mobile.applock.en, chứa thành phần proxy TCP. Proxy chuyển tiếp lưu lượng internet thay mặt cho người khác. Khi kết nối thuộc về một chủ điện thoại thông thường, lưu lượng đó có thể trông như xuất phát từ địa chỉ internet của chủ máy, thay vì bên thực sự điều khiển nó.

Thành phần này đăng ký thiết bị với máy chủ từ xa và có thể nhận chỉ thị kết nối đến các đích được chỉ định rồi chuyển tiếp lưu lượng. Những khả năng như vậy có thể hỗ trợ một mạng lưới thiết bị điều khiển từ xa, hay botnet, đồng thời tạo thêm nguồn thu qua việc bán quyền truy cập vào các kết nối đó.

Bitdefender xác nhận hạ tầng proxy đã chấp nhận đăng ký từ thiết bị thử nghiệm của họ. Tuy nhiên, thiết bị không nhận được đích chuyển tiếp nào trong quá trình kiểm tra. Vì vậy, cuộc điều tra chứng minh việc đăng ký và khả năng chuyển tiếp, chứ không chứng minh hoạt động chuyển tiếp thực tế trên thiết bị thử nghiệm.

Cần thận trọng tương tự khi nói về các cuộc tấn công từ chối dịch vụ phân tán, vốn làm quá tải mục tiêu bằng lưu lượng từ nhiều thiết bị. Các nhà nghiên cứu nêu việc tham gia botnet và thực hiện những cuộc tấn công này như các khả năng tiềm tàng. Phát hiện không chứng minh điện thoại nhiễm Midnight Mimosa đã thực hiện một cuộc tấn công cụ thể, cũng không xác định khách hàng nào đã mua quyền truy cập vào các kết nối của chúng.

Những thiết bị và quốc gia nào xuất hiện trong các phát hiện?

Mexico, Pháp và Italy đứng đầu về phân bố địa lý, tiếp theo là Mỹ, Đức, Brazil và Tây Ban Nha. Tổng số liệu bao gồm hàng nghìn thiết bị riêng biệt trong khoảng hai năm, nhưng không có tổng số chính xác cho toàn chiến dịch. Đây là số thiết bị được phát hiện, không phải thống kê đầy đủ mọi điện thoại nhiễm đã bán ra.

Hơn 11% thiết bị bị xâm nhập tự nhận là KINGKONG X, tên mẫu máy gắn với Cubot, trong khi hơn 4% tự nhận là S200 X, gắn với Doogee. Hai nhóm mẫu máy được báo cáo này chiếm tổng cộng hơn 15% số phát hiện. Cubot Kingkong 9 cũng được nhắc đến trong các bài viết về cuộc điều tra.

15 thương hiệu điện thoại phổ biến nhất chiếm 35,8% số thiết bị bị nhiễm. Khoảng 64% được xếp vào nhóm khác, theo số liệu đã làm tròn được báo cáo. Phân bố này cho thấy thị trường bị ảnh hưởng phân mảnh, thay vì chỉ tập trung vào một thương hiệu dễ nhận diện.

Các chuỗi tên mẫu giả mạo gồm i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra và Note 18 Ultra. Tên máy tính bảng iPadAirPro cũng xuất hiện. Những chuỗi này được phần cứng Android giá rẻ báo cáo và không nên bị hiểu nhầm là bằng chứng sản phẩm chính hãng của Apple hoặc Samsung có mã độc.

Chỉ dựa vào mã nhận diện mẫu máy thì bằng chứng chưa hoàn hảo, bởi phần mềm có thể khai báo sai danh tính thiết bị. Việc phát hiện mã độc trên một số mẫu máy cũng không chứng minh mọi thiết bị bán dưới những tên đó đều bị nhiễm. Các phát hiện kỹ thuật liên quan đến thiết bị và bản dựng firmware bị ảnh hưởng, không phải toàn bộ sản phẩm MediaTek hay mọi điện thoại của những thương hiệu được nêu.

Chứng chỉ firmware không xác định trách nhiệm

Một số firmware bị ảnh hưởng được ký bằng chứng chỉ mang tên Shenzhen Zediel. Bằng chứng về chữ ký có ý nghĩa vì nó liên kết thành phần độc hại với firmware được thiết bị tin cậy. Tuy nhiên, riêng điều đó không xác định ai đã đưa mã độc vào firmware, cũng không cho biết chủ thể đứng tên chứng chỉ có biết mã độc hiện diện hay không.

Gozob và Baciu nêu rõ giới hạn trong những gì cuộc điều tra có thể xác định về nguồn gốc:

Chúng tôi chỉ có thể xác nhận rằng các chứng chỉ mang tên Shenzhen Zediel đã được dùng để ký firmware trên những thiết bị bị ảnh hưởng.

Các bài viết mô tả khác nhau về doanh nghiệp đứng sau cái tên này, trong đó có cách gọi đây là nhà sản xuất thiết bị Android và nhận định doanh nghiệp có vẻ liên quan đến một nhà phát triển bo mạch chủ. Những mô tả đó không giải quyết được vấn đề trách nhiệm. Bitdefender cũng tìm thấy điện thoại bị ảnh hưởng không có chứng chỉ firmware mang tên Zediel, nên danh tính ký này vừa không phải lời giải thích đầy đủ, vừa không phải dấu hiệu phổ quát.

Những khâu có thể đã đưa mã độc vào gồm nhà sản xuất thiết kế gốc, đơn vị tích hợp firmware, đối tác logistics hoặc một bên khác trong khâu phân phối. Báo cáo không kết luận bên nào. Phát hiện được xác nhận là mã độc đã có trong firmware trước khi điện thoại bị ảnh hưởng được bán ra.

Báo cáo của chủ máy cho thấy vì sao xóa ứng dụng là chưa đủ

Chủ sở hữu điện thoại Cubot và Doogee mô tả các ứng dụng đáng ngờ tự cài lại sau khi bị xóa. Một người dùng Doogee Fire 3 Max cho biết bản cập nhật firmware chính thức đã đưa mã độc vào máy, quay lại firmware cũ thì hết nhiễm, nhưng cài lại bản cập nhật khiến mã độc xuất hiện trở lại. Đây là lời kể của người dùng, không phải lịch sử độc lập được xác minh cho mọi bản phát hành firmware bị ảnh hưởng.

Một số chủ máy cho biết các bản cập nhật sau đó của nhà sản xuất đã xử lý được tình trạng nhiễm mã độc. Các nhà sản xuất chưa công khai giải thích mã độc đã xâm nhập firmware bị ảnh hưởng như thế nào. Xét tổng thể, những lời kể này cho thấy cần xem phiên bản firmware là phần thiết yếu trong quá trình điều tra và khắc phục, thay vì cho rằng xóa ứng dụng đã tải về là đủ.

Trình tự chính được xác lập qua cuộc điều tra và các bài viết sau đó như sau:

• Trong khoảng hai năm, Bitdefender ghi nhận hàng nghìn thiết bị bị ảnh hưởng tại hơn 150 quốc gia.
• Ngày 8 tháng 10 năm 2026, Bitdefender công bố cuộc điều tra về Midnight Mimosa.
• Ngày 9 tháng 10 năm 2026, báo cáo kỹ thuật được cập nhật.
• Đến khi các bài viết được đăng ngày 12 tháng 10, các ứng dụng Google Play liên quan và trách nhiệm đối với firmware bị ảnh hưởng vẫn là những vấn đề chưa được giải quyết.

Bitdefender cho biết việc xử lý đòi hỏi phải khắc phục firmware hoặc vô hiệu hóa thành phần độc hại thông qua Android Debug Bridge, thường gọi là ADB. ADB là công cụ cho phép máy tính giao tiếp với thiết bị Android để gỡ lỗi và thực hiện tác vụ quản trị. Vô hiệu hóa một thành phần không đồng nghĩa với thay firmware bị xâm nhập bằng phiên bản đã được xác minh là sạch.

Chưa có lệnh xử lý phổ quát hay danh sách firmware sạch được xác nhận. Chủ sở hữu nên tìm biện pháp khắc phục đã được xác minh hoặc yêu cầu đổi thiết bị từ người bán hay nhà sản xuất, thay vì mặc định bản cập nhật an toàn chỉ vì nó được gắn nhãn chính thức. Trong khi tình trạng thiết bị đã biết là bị ảnh hưởng chưa được giải quyết, chủ máy nên thận trọng, tránh sử dụng thiết bị đó cho ngân hàng, xác thực tài khoản nhạy cảm hoặc lưu trữ thông tin quan trọng.

Mối lo ngại còn liên quan đến quyền truy cập nhạy cảm mà các nhà nghiên cứu không quan sát thấy bị sử dụng. Quyền trợ năng và quyền truy cập thông báo liên tục được cấp rồi thu hồi, còn quyền SMS cũng hiện diện. Nếu mã được cung cấp từ xa kích hoạt các quyền này, chúng có thể làm lộ nội dung màn hình, thông báo hoặc tin nhắn xác minh. Đây là nguy cơ đã được chứng minh về mặt khả năng, không phải bằng chứng Midnight Mimosa đã đánh cắp những dữ liệu đó trong quá trình phân tích.

Điểm chính

• Midnight Mimosa được phát hiện nhúng trong firmware Android trước khi thiết bị bị ảnh hưởng đến tay người mua.
• Bitdefender ghi nhận hàng nghìn thiết bị bị ảnh hưởng tại hơn 150 quốc gia trong khoảng hai năm.
• Chiến dịch triển khai ít nhất 32 ứng dụng tải xuống ngụy trang; 13 ứng dụng Google Play dùng chung mã gian lận quảng cáo và hạ tầng của chiến dịch.
• Quyền hệ thống cho phép âm thầm cài đặt ứng dụng, cấp quyền và nạp mã từ xa.
• Đã xác nhận việc đăng ký proxy, nhưng không quan sát thấy hoạt động chuyển tiếp lưu lượng thực tế trên thiết bị thử nghiệm.
• Chứng chỉ ký firmware không xác định ai đã đưa mã độc vào hoặc liệu chủ thể đứng tên chứng chỉ có liên quan hay không.
• Chỉ xóa các ứng dụng bình phong không xử lý được thành phần thường trực. Việc khắc phục cần xử lý firmware hoặc vô hiệu hóa thành phần đó.