Bitdefender обнаружила кампанию Midnight Mimosa: предустановленный вредонос вшит прямо в прошивку недорогих Android-смартфонов и попадает на устройство раньше, чем владелец впервые его включит. Как сообщает румынская Bitdefender, речь идёт о тысячах аппаратов более чем в 150 странах. Среди названных моделей — Doogee S200 X, Doogee Fire 3 Max и Cubot KINGKONG X.
Что установили исследователи Bitdefender
Отчёт опубликован 8 октября 2026 года, его авторы — Адриан Михай Гозоб и Алекс Бачу. Кампания активна не менее двух лет. Больше всего заражённых устройств зафиксировано в Мексике, Франции, Италии, США, Германии, Бразилии и Испании. Кто стоит за операцией и на каком именно этапе цепочки поставок вредонос попал в прошивку, исследователи не установили.
Главное отличие Midnight Mimosa от привычных Android-троянов в том, что он не требует ни перехода по ссылке, ни установки подозрительного приложения: вредоносный компонент находится в системном разделе и получает системные привилегии с первого запуска.
«Заражение завершено ещё до того, как телефон впервые включат», — говорится в отчёте Bitdefender.
Как работает Midnight Mimosa
В основе кампании — системное приложение-бэкдор, подписанное платформенным сертификатом, поэтому Android считает его доверенным. Основное имя пакета — com.android.system.lite, встречаются варианты com.android.sys.prot и com.android.sys.gmsprot. Сборки различаются от модели к модели: где-то другие сертификаты подписи, где-то даже другие имена, и это затрудняет обнаружение.
Возможности компонента:
незаметно устанавливать и удалять приложения;
самостоятельно выдавать разрешения;
загружать и исполнять удалённый код;
временно отключать Google Play перед установкой полезной нагрузки, а затем включать магазин обратно — чтобы снизить вероятность срабатывания Play Protect.
Bitdefender связала с кампанией как минимум 32 замаскированных приложения — погодные, файловые менеджеры, блокировщики приложений, OCR-инструменты, аудиоредакторы; ещё 13 похожих приложений нашлись в Google Play, но их пользователь ставит вручную и сам выдаёт разрешения. Операторы зарабатывают на рекламном и кликовом мошенничестве, на данных об устройстве и установленных программах, а также на превращении телефонов в резидентные прокси — узлы ботнета, доступ к которым продают, в том числе для DDoS-атак. Приложения-обёртки ставятся и удаляются циклично: так операторы меняют хеши и активный модуль монетизации, пока базовый системный компонент остаётся на месте.
Какие модели под угрозой
В отчёте названы бюджетные защищённые аппараты на чипсетах MediaTek: Doogee S200 X (в телеметрии — «S200 X»), Doogee Fire 3 Max (в графике — «Fire3Max») и Cubot KINGKONG X. Отдельная категория — подделки под флагманы с названиями вроде S24 Ultra, S25 Ultra, S26 Ultra и i17 Pro Max, а также устройства без узнаваемого бренда с идентификаторами прошивки J10_EEA, A9_EEA, T13_EEA и Q6_EEA.
Оговорка: наличие модели в продаже не означает, что заражён каждый экземпляр, — речь идёт о части партий. Публичной информации о предустановленном Midnight Mimosa в других моделях Doogee 2026 года нет.
Отдельно от этой истории у бренда числится уязвимость CVE-2025-67264 в EngineerMode и ADB на моделях Doogee Note59, Note59 Pro и Note59 Pro+. Она позволяет локальному атакующему выполнить произвольный код.
Что это значит для покупателей в России и СНГ
Риск для российского рынка подтверждён: по сообщениям изданий, включая CNews, заражённые Doogee S200 X встречались в продаже на Ozon, Wildberries и «Яндекс Маркете», а также в официальном российском магазине бренда. Значит, статус официального продавца не гарантирует чистую прошивку, если скомпрометирован этап производства или прошивки.
По оценке редакции, главный вывод для покупателя смещается с вопроса «какие приложения я установлю» на вопрос «откуда пришёл сам аппарат». Дешёвые копии флагманов и малоизвестные марки в нижнем ценовом сегменте входят в зону риска; критерий цены здесь работает не хуже антивируса, как и в случае с общей экономией на покупке смартфона, о которой мы писали в материале «Как не переплатить за смартфон в 2026 году».
Как проверить телефон и что делать
Проверка начинается со списка приложений: включите показ системных процессов в настройках и поищите пакеты com.android.system.lite, com.android.sys.prot и com.android.sys.gmsprot. Косвенные признаки — сами собой появляющиеся «погода», файловый менеджер или блокировщик приложений, нетипичная сетевая активность и незнакомые APK.
Что работает и что не работает:
Мера | Результат |
|---|---|
Обычный антивирус | может заметить активность, но не удалит системный компонент |
Сброс к заводским настройкам | помогает редко — вредонос живёт в системном разделе |
Перепрошивка на чистую официальную прошивку либо отключение вредоносного пакета через ADB (adb shell pm disable-user) | работающие варианты, но обе процедуры технически сложны |
Ввод данных банковских приложений и смена паролей на подозрительном аппарате | не стоит вводить данные банковских приложений и менять пароли только с него, пока вопрос не решён |
Перед покупкой имеет смысл искать связку «название модели + Midnight Mimosa» и уточнять у продавца версию прошивки и наличие исправленных партий. У российского официального магазина Doogee указаны бесплатные по России номера 8 (800) 511-96-09 и 8 (800) 505-35-11, а также московский 8 (495) 135-94-20. Если аппарат из затронутой серии, а перепрошивка недоступна, наиболее практичный выход — замена устройства.
Кампания такого масштаба заставляет пересмотреть базовый принцип: теперь доверие требуется и к приложениям, и к каналу поставки самого смартфона.
Частые вопросы о Midnight Mimosa
Можно ли удалить Midnight Mimosa антивирусом?
Нет. Вредонос находится в системном разделе с системными правами, для очистки нужна перепрошивка или отключение пакета через ADB.
Заражены ли все смартфоны Doogee и Cubot?
Нет, речь идёт о части партий. В отчётах названы конкретные модели — Doogee S200 X, Doogee Fire 3 Max и Cubot KINGKONG X.
Помогает ли сброс к заводским настройкам?
Не помогает: стандартный сброс не затрагивает системный раздел, где размещён вредоносный компонент.
Опасен ли Midnight Mimosa для владельцев iPhone?
Данных о заражении устройств Apple нет. Кампания затрагивает Android-аппараты на MediaTek, включая поддельные телефоны, которые лишь маскируются под флагманы под именами i17 Pro Max и подобными.
Techno Review в соцсетях
Оперативные новости техники, криптовалют и искусственного интеллекта:
Telegram — подписаться
