Tani telefon z Androidem, kupiony jako wytrzymały model albo “Galaxy Ultra” w okazyjnej cenie, może mieć złośliwy kod w systemie, zanim właściciel go włączy. Reset do ustawień fabrycznych tego nie naprawi. Firma Bitdefender opisała 8 października 2026 roku kampanię, którą nazwała Midnight Mimosa. Według jej raportu kod przez około dwa lata działał na tysiącach urządzeń w ponad 150 krajach. Najczęściej trafiał się w modelach kojarzonych z markami Doogee i Cubot. Drugą grupą są podróbki telefonów Samsunga i Apple.
Czym jest Midnight Mimosa i co robi z telefonem
Midnight Mimosa to złośliwa aplikacja systemowa wgrana w łańcuchu dostaw do oprogramowania tanich telefonów z procesorami MediaTek. Ma uprawnienia samego systemu, więc użytkownik nie może jej odinstalować. Nazywa się zwyczajnie, na przykład “System”, i nie ma ikony. Bitdefender trafił na nią, bo aplikacja udająca składnik Androida zachowywała się zupełnie inaczej niż składnik Androida.
Po uruchomieniu kod pobiera moduły z serwera operatorów i po cichu instaluje oraz usuwa kolejne aplikacje. Badacze naliczyli co najmniej 32 takie przykrywki: aplikacje pogodowe, “blokady aplikacji”, menedżery plików, programy do rozpoznawania tekstu i edytory dźwięku. Część z nich nie ma ikony ani żadnej funkcji, którą obiecuje nazwa. Aplikacje często się zmieniają, więc trudno je zauważyć na liście.
Według raportu cel jest zarobkowy i ma trzy tory:
- oszustwa reklamowe: telefon wyświetla reklamy w niewidocznych oknach i sam “klika” w nie bez dotyku właściciela;
- zbieranie danych o urządzeniu i o zainstalowanych aplikacjach;
- wynajmowanie łącza: telefon staje się węzłem sieci pośredniczącej (proxy), przez którą cudzy ruch wychodzi do internetu z adresu właściciela. Bitdefender dodaje, że taka sieć urządzeń może posłużyć także do ataków DDoS, czyli zalewania serwerów ruchem.
Raport nie opisuje kradzieży haseł ani danych bankowych. Badacze zaznaczają jednak, że aplikacja sama włącza sobie dostęp do treści ekranu (usługę ułatwień dostępu), do powiadomień i do SMS-ów. W czasie analizy nie widzieli, żeby z nich korzystała, ale operator może to zmienić zdalnie.
Dlaczego Play Protect i reset fabryczny nie pomagają
Google Play Protect, czyli wbudowany skaner aplikacji w Androidzie, nie widzi tych instalacji, bo kod wyłącza go na ich czas. Tuż przed instalowaniem kolejnej aplikacji wyłącza Sklep Play, w którym działa skaner, a zaraz potem włącza go z powrotem. Część próbek dopisuje też instalowanym aplikacjom fałszywe źródło “Google Play”. W ustawieniach wygląda to tak, jakby właściciel pobrał je sam ze sklepu.
Przywrócenie ustawień fabrycznych kasuje dane i aplikacje użytkownika, ale nie rusza partycji systemowej. Właśnie tam siedzi Midnight Mimosa. Po resecie telefon wraca do stanu z fabryki, czyli razem z tym kodem. Bitdefender pisze wprost, że usunięcie wymaga wymiany oprogramowania na czyste albo wyłączenia składnika przez ADB, narzędzie programistyczne podłączane kablem z komputera. Dla większości właścicieli takich telefonów żadna z tych dróg nie jest realna. Według badaczy trwała naprawa leży po stronie producentów i sklepów, które takie oprogramowanie dostarczają i sprzedają.
Podobny mechanizm opisywaliśmy w sierpniu przy złośliwym kodzie w radiach samochodowych z Androidem. Tam szkodliwe pakiety przyszły drogą zwykłej aktualizacji.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Których telefonów dotyczy: modele z raportu Bitdefendera
Dwa najczęściej spotykane modele to prawdziwe telefony znanych marek: “S200 X”, kojarzony przez Bitdefendera z Doogee, oraz “KINGKONG X”, kojarzony z Cubotem. Obie marki produkują tanie telefony wytrzymałe, w gumowanych obudowach. Raport nie twierdzi, że wszystkie telefony tych firm są zainfekowane. Opisuje zainfekowane egzemplarze, które zgłaszały się jako te modele, i nie dowodzi, że problem obejmuje każdą sztukę S200 X czy KingKong X.
Reszta listy to w dużej części podróbki, które podszywają się pod flagowce. Telefony zgłaszają się w systemie jako “i17 Pro Max”, “i16_Pro_Max” albo “17_Pro_Max”, a tablet jako “iPadAirPro”. Udają też Samsunga: “S25 Ultra”, “S24 Ultra”, “S26 Ultra” i “Note 18 Ultra”. Pojawia się nawet prawdziwy kod modelu Galaxy S25 Ultra, czyli “SM-S938B”, na urządzeniach, które z Samsungiem nie mają nic wspólnego. Na liście jest też “Magic 15 MAX” podszywający się pod Honora oraz bezimienne telefony z oprogramowaniem oznaczonym J10_EEA, A9_EEA, T13_EEA i Q6_EEA. Bitdefender podkreśla, że nazwa modelu jest tu oznaką podróbki, a nie spisem prawdziwych urządzeń.
Część oprogramowania podpisano certyfikatami firmy Shenzhen Zediel. Bitdefender zastrzega, że nie wie, jak te certyfikaty trafiły na telefony ani czy ich właściciel wiedział o złośliwym kodzie. Nie wiadomo też, na którym etapie kod został dodany: u producenta na zlecenie, u firmy przygotowującej oprogramowanie, w logistyce czy dalej w łańcuchu dostaw.
Czy te telefony są w Polsce
Polskich danych w raporcie nie ma. Najwięcej urządzeń badacze widzieli w Meksyku, Francji i we Włoszech, a dalej w USA, Niemczech, Brazylii i Hiszpanii. Żaden kraj nie dominuje. Według badaczy pasuje to do sprzedaży przez międzynarodowe platformy internetowe, a nie przez jednego operatora czy sieć sklepów.
Nie potwierdziliśmy sprzedaży zainfekowanych egzemplarzy w Polsce. Te marki są jednak u nas znane: 9 października w polskiej porównywarce cen znaleźliśmy folie, szkła ochronne i zamienne wyświetlacze do Doogee S200 X i Cubot KingKong X, a inne telefony obu marek są w ofercie sklepów. Jeśli masz w domu któryś z tych modeli albo tani telefon podpisany jako flagowiec, sprawdź go według kroków poniżej.
Jak sprawdzić, czy telefon ma wirusa w oprogramowaniu fabrycznym
Pewnego testu dla zwykłego użytkownika nie ma, bo kod udaje składnik systemu i zmienia nazwy. Da się jednak sprawdzić kilka rzeczy, które wskazują, czy telefon należy do grupy ryzyka.
Sprawdź, co telefon mówi o sobie. Otwórz Ustawienia, a potem Informacje o telefonie i Wersja Androida. Zgodnie z instrukcją Google znajdziesz tam wersję systemu, datę aktualizacji zabezpieczeń i numer kompilacji. Nazwy pozycji różnią się między producentami. Jeśli telefon kupiony jako “Galaxy S25 Ultra” nie ma w ustawieniach nakładki Samsunga, a aktualizacja zabezpieczeń ma kilka lat, to silny sygnał, że telefon może być podróbką.
Sprawdź certyfikat Play Protect. W Sklepie Play stuknij ikonę profilu, potem Ustawienia i Informacje. Pozycja “Certyfikat Play Protect” mówi, czy urządzenie przeszło testy zgodności Google. Według Google telefony bez certyfikatu mogą nie być bezpieczne i nie dostawać aktualizacji. Certyfikat nie gwarantuje braku infekcji, ale jego brak to mocny sygnał ostrzegawczy.
Przejrzyj listę aplikacji, łącznie z systemowymi. Szukaj aplikacji, których nie instalowałeś, zwłaszcza blokad aplikacji, pogody czy skanerów tekstu bez ikony na ekranie. Opcja pokazywania aplikacji systemowych nazywa się różnie w zależności od nakładki.
Porównaj z listą pakietów. Bitdefender wymienia m.in.
com.android.system.lite,com.android.sys.prot,com.android.sys.gmsproticom.android.sys.bcprot. Te same buildy podszywały się jednak także pod zwykłe nazwy, jakcom.android.gallery3dczycom.android.browser. Brak podejrzanej nazwy nie oznacza więc czystego telefonu.
| Objaw | Co to może znaczyć | Co zrobić |
|---|---|---|
| Reklamy na pełnym ekranie, choć żadna aplikacja nie jest otwarta | aplikacja-przykrywka wyświetla reklamy poza własnym oknem | sprawdź, czy telefon jest na liście modeli; usunięcie takiej aplikacji łagodzi objaw, ale składnik systemowy może ją zainstalować ponownie |
| Aplikacje pojawiają się i znikają bez twojego udziału | instalator działający z uprawnieniami systemu | nie loguj się na telefonie do banku i poczty; wymień oprogramowanie albo telefon |
| Brak certyfikatu Play Protect | urządzenie nie przeszło testów zgodności Google, często podróbka | traktuj telefon jako niezaufany, nie trzymaj na nim ważnych kont |
| Model w ustawieniach nie zgadza się z obudową lub pudełkiem | podróbka podszywająca się pod flagowiec | zwróć telefon sprzedawcy, póki możesz |
| Wyższe niż zwykle zużycie danych przy nieużywanym telefonie | możliwy węzeł proxy wysyłający cudzy ruch | sprawdź zużycie danych w ustawieniach; odłącz telefon od sieci firmowej |
Ogólniejszą listę sygnałów, że ktoś ma dostęp do telefonu, zebraliśmy w tekście jak sprawdzić, czy telefon jest na podsłuchu.
Co zrobić, gdy twój telefon jest na liście
Najpierw sprawdź, czy producent wydał aktualizację, w której wprost potwierdza usunięcie problemu. Sama nowsza wersja systemu takiej gwarancji nie daje. Instaluj ją wyłącznie z oficjalnej strony producenta albo przez aktualizację systemową w ustawieniach. Plik z forum czy od nieznanego sprzedawcy może być równie zainfekowany. Jeśli telefon kupiłeś niedawno, a okazał się podróbką albo modelem z raportu, skorzystaj z prawa do zwrotu albo z reklamacji u sprzedawcy.
Dopóki telefon nie ma czystego oprogramowania, nie trzymaj na nim bankowości, poczty ani kont, przez które odzyskuje się inne konta. Zmień hasła do tych kont z innego, zaufanego urządzenia. Nie podłączaj takiego telefonu do domowej sieci, w której pracują komputery z ważnymi danymi. Węzeł proxy może sięgać do innych urządzeń w tej samej sieci.
Midnight Mimosa ma też drugą drogę, niezależną od tanich telefonów. Bitdefender znalazł 13 aplikacji w Sklepie Google Play z tym samym kodem reklamowym. Nie mają uprawnień systemowych i nie instalują niczego po cichu, ale wyświetlają reklamy poza swoim oknem, także gdy telefon leży nieużywany. Lista pakietów z raportu:
com.audify.editor.wavrge, appicon.diy.tools.prop, com.audify.editor.pro, com.prorestore.qr, com.message.recovery.prorestore, com.go.weather.mot, com.cool.weather.yl, com.dmstudio.weather, com.dl.guard.lock, picturetranslate.extractor.text.lite, com.notemaster.record.mark, com.arabmusic.tap.aghani_tamerhosny, org.life.goal.tools.
Raport nie mówi, czy Google usunął je ze sklepu. Jeśli masz którąś z nich, odinstaluj ją jak zwykłą aplikację.
Tanie telefony w firmie: co powinien sprawdzić administrator
Firma, która kupuje tanie telefony wytrzymałe dla magazynu albo ekipy w terenie, powinna dopuszczać do sieci tylko urządzenia od znanego dostawcy. Każde powinno mieć certyfikat Play Protect. Zainfekowany telefon w sieci firmowej to gotowy punkt wyjścia: według raportu węzeł proxy może łączyć się z dowolnymi adresami, także w sieci lokalnej.
Bitdefender podaje dla zespołów IT dwa praktyczne wskaźniki. Pierwszy to adresy serwerów sterujących, m.in. api.weatherlive[.]world i oss.showtimetool[.]com, które można sprawdzić w dziennikach DNS i zapory. Drugi to prefiks adresu MAC karty Wi-Fi A0:53:94. Według raportu należy do Shenzhen Zediel i oznacza urządzenie z oprogramowaniem tego wytwórcy. Nie złapie wszystkich zainfekowanych telefonów, bo ten sam kod trafiał też do urządzeń bez oprogramowania Zediel. Badacze radzą też, żeby nie polegać na czarnych listach nazw pakietów, bo te zmieniają się z każdą wersją.
FAQ
Czy antywirus na telefonie usunie wirusa wgranego fabrycznie?
Nie usunie. Program antywirusowy może wykryć podejrzane zachowanie i ostrzec, ale nie skasuje aplikacji z partycji systemowej, bo ma mniejsze uprawnienia niż ona. Bitdefender znalazł tę kampanię właśnie dzięki obserwacji zachowania aplikacji, a mimo to jako drogę usunięcia wskazuje czyste oprogramowanie od producenta albo wyłączenie składnika przez ADB.
Czy telefon Doogee albo Cubot z innym modelem też jest zagrożony?
Raport wymienia z tych marek tylko dwa modele: S200 X i KingKong X. O innych modelach Bitdefender nic nie pisze, więc nie da się ich uznać ani za zainfekowane, ani za czyste. Sprawdzenie certyfikatu Play Protect i listy aplikacji ma sens przy każdym tanim telefonie z nieznanego źródła.
Podsumowanie
Bitdefender opisał 8 października 2026 roku kampanię Midnight Mimosa. To złośliwa aplikacja systemowa wgrana do oprogramowania tanich telefonów z procesorami MediaTek, zanim trafiły do kupujących. Przez około dwa lata działała na tysiącach urządzeń w ponad 150 krajach. Instaluje po cichu aplikacje z reklamami, wyłącza na ten czas skaner Play Protect i robi z telefonu węzeł sieci proxy. Najczęściej trafiała się w modelach kojarzonych z Doogee S200 X i Cubot KingKong X oraz w podróbkach Galaxy Ultra i iPhone’ów. Reset do ustawień fabrycznych jej nie usuwa, a dla zwykłego użytkownika jedyną realną drogą jest aktualizacja, w której producent potwierdza usunięcie problemu, albo wymiana telefonu. Do tego czasu nie trzymaj na takim urządzeniu banku ani poczty i sprawdź jego certyfikat Play Protect.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
