部分聯發科晶片手機藏資安風險，出廠前惡意程式就先入住了
資安業者 Bitdefender 近日揭露一項名為「Midnight Mimosa」的惡意程式攻擊行動，研究人員發現，多款採用聯發科平台的低階 Android 手機，在消費者購買前就已預載惡意程式，不僅會暗中安裝應用程式、竊取裝置資訊，還可能將手機變成殭屍網路的一部分。更棘手的是，這些惡意程式隱藏在系統韌體中，使用者無法透過一般方式移除。
據 Bitdefender 10 月 8 日釋出的研究報告，Midnight Mimosa 並非透過一般釣魚連結或惡意 App 感染裝置，而是在手機出廠前就已整合至 Android 系統韌體，取得系統層級權限。換言之，消費者即使從未下載可疑應用程式，仍可能在首次開機時就已暴露於資安風險。
研究人員最初發現一款名為「com.android.system.lite」的可疑系統程式，表面上看似 Android 核心元件，實際上卻能在使用者不知情的情況下，自行安裝或移除應用程式，甚至擅自授予相關權限。進一步調查發現，這套惡意程式還會以不同名稱隱藏於系統中，並透過遠端伺服器下載其他惡意模組。
值得注意的是，Midnight Mimosa 甚至會在安裝惡意程式前，暫時停用 Google Play 商店相關元件，藉此規避 Play Protect 安全掃描，待安裝完成後再重新啟用，降低使用者察覺異常的可能性。部分樣本還會偽造應用程式來源，讓系統誤以為相關軟體來自 Google Play。
Midnight Mimosa 主要以獲取非法收益為目的，研究人員發現，惡意程式會暗中安裝偽裝成天氣預報、應用程式鎖定、檔案管理及文字辨識工具的 App，利用合法廣告軟體開發套件（SDK）產生虛假廣告曝光與點擊，藉此騙取廣告收入。
除此之外，攻擊者還能將受感染手機轉變為住宅代理伺服器（Residential Proxy），利用裝置的網路連線轉送第三方流量，使其成為殭屍網路節點，甚至可能被用於分散式阻斷服務（DDoS）攻擊。
Bitdefender 指出，這波攻擊至少涉及 32 款不同的偽裝應用程式。更令人擔憂的是，研究團隊還在 Google Play 發現 13 款與相同控制伺服器通訊的應用程式，顯示攻擊者不僅透過韌體預載散播惡意程式，也利用官方應用程式商店擴大攻擊範圍。
Bitdefender 在約兩年的觀察期間中，已於全球超過 150 個國家發現數千台受影響裝置，主要分布於墨西哥、法國、義大利、美國、德國、巴西及西班牙等市場。
受影響產品涵蓋多款低價 Android 手機，其中部分甚至冒用蘋果 iPhone、三星 Galaxy 等知名品牌名稱，實際上卻是採用低價聯發科硬體的仿冒裝置。此外，研究人員也在 Doogee S200 X、Cubot KINGKONG X 等品牌機型中觀察到相關威脅。
研究團隊指出，部分受影響韌體使用標示為深圳 Zediel 的憑證簽署，但目前尚無法確認惡意程式究竟是在原始設計製造商（ODM）、韌體整合商、物流環節，或其他供應鏈階段被植入，也無法據此認定憑證持有者參與攻擊。
由於惡意程式具有系統權限，且直接存在於裝置韌體中，單純解除安裝可疑 App 並不足以排除威脅，必須透過韌體層級清除或停用相關元件才能解決。Bitdefender 強調，這類問題最終仍需要設備製造商與銷售平台共同處理，才能有效阻止受感染產品持續流入市場。
（首圖來源：Cubot）