В дешёвых Android-смартфонах нашли предустановленный малварь: как защититься

Исследователи из Bitdefender обнаружили вредоносное ПО, которое поставляется прямо в прошивке недорогих Android-смартфонов от малоизвестных брендов. Кампания получила название Midnight Mimosa. Малварь встроен в устройства на базе чипов MediaTek и продаётся под марками Cubot, Doogee, а также подделок Samsung Galaxy S24, S25 и S26. Эту информацию сообщает сайт BGR.

Вредоносная программа добавляет в систему приложение System с пакетом com.android.system.lite. Оно получает полные привилегии и циклически загружает и удаляет безобидные на вид утилиты — прогноз погоды, блокировку приложений и другие. Эти приложения служат прикрытием для показа полноэкранной и скрытой рекламы, даже если пользователь их не открывал. Малварь написан так, чтобы обходить антивирусные сканеры и скрывать свою активность.

По данным Bitdefender, за 2024 и 2025 годы заражёнными оказались тысячи устройств, но реальное число может быть больше. 13% заражённых смартфонов пришлось на Мексику — это самая поражённая страна. США заняли четвёртое место с 8%, Канада — девятое с менее чем 3%. Исследователи не смогли установить, на каком этапе цепочки поставок произошло заражение: у производителя, поставщика прошивки, бренда или при транспортировке. Однако подписи в приложениях указывают на одного источника — ODM Shenzhen Zediel.

Подобные схемы не новы. В 2018 году Федеральная торговая комиссия США привлекла к ответственности компанию Blu за то, что её подрядчик по прошивке собирал данные, тексты и журналы звонков пользователей. В 2016 году другой подрядчик, Ragentek, развернул обновление, которое могло быть перехвачено злоумышленниками из-за обращения к незарегистрированным доменам. Тогда пострадали миллионы телефонов Blu, Infinix, Doogee, Xolo и других брендов. Midnight Mimosa несёт аналогичные риски: малварь может устанавливать приложения за пределами рекламной схемы, включая участие в бот-сетях и DDoS-атаках.

Приложения, связанные с Shenzhen Zediel, существовали давно, но это лишь один вектор. Bitdefender нашёл ещё 13 приложений с похожим кодом, подписанных той же компанией, в Google Play Store. Они были доступны всем пользователям, даже без взломанных устройств, но уже удалены из магазина.

Чтобы избежать заражения, стоит покупать смартфоны только у проверенных брендов, таких как Google, Motorola или Samsung. У них есть процессы защиты прошивки, включая обновления и поддержку владельцев. Если вы уже купили дешёвый телефон неизвестной марки, проверьте его на наличие приложения System с указанным пакетом и при необходимости сбросьте устройство до заводских настроек.