Tisíce levných telefonů s Androidem měly v systému kód, který se nedá odinstalovat

Rumunská bezpečnostní firma Bitdefender zveřejnila 8. října rozbor kampaně, které dala jméno Midnight Mimosa. Popisuje aplikaci, která je v telefonu dřív, než ho majitel poprvé zapne: je součástí firmwaru, běží s právy systému a odinstalovat ji z telefonu nelze. Týká se to levných přístrojů s čipy MediaTek od několika značek.

Aplikace, která se v telefonu hlásí jako součást systému

Prvním nalezeným balíčkem je com.android.system.lite s označením System. V manifestu má sharedUserId android.uid.system, tedy sdílí identitu systému, a žádá si oprávnění INSTALL_PACKAGES, DELETE_PACKAGES a GRANT_RUNTIME_PERMISSIONS. Běžná aplikace z obchodu je nedostane; dostane je jen program podepsaný klíčem platformy, který do telefonu vložil někdo při výrobě. Znamenají právo instalovat a mazat programy a přidělovat jim oprávnění bez jediného dotazu majiteli.

Vlastní kód v APK skoro nic nedělá. Práce je v nativní knihovně libeasy.so, která si při spuštění rozšifruje vložený kus Javy a ten si pak z řídicího serveru stáhne nastavení a další části. Řídicí server se podle rozboru vydává za rozhraní předpovědi počasí. Bitdefender zároveň popisuje, že táž výbava se v různých sestaveních firmwaru jmenuje jinak: com.android.sys.prot, com.android.sys.gmsprot nebo com.android.sys.bcprot. Jméno balíčku tedy není vodítko, společné je jádro pod ním.

Vydělává reklamou a pronájmem cizí linky

Peníze nevznikají v té systémové aplikaci. Ta jen instaluje a po chvíli zase maže rotující sadu nejméně 32 maskovaných programů – falešné zámky aplikací, předpověď počasí, správce souborů, čtečku textu z obrázků. Teprve ty načítají skutečné reklamy přes běžnou reklamní knihovnu a kreslí si přes ostatní aplikace neviditelné okno, ve kterém se zobrazení počítá. Druhý zdroj příjmu je proxy: program com.mobile.applock.en je podle rozboru jednoúčelová zpětná TCP spojka, která z telefonu udělá průchozí bod pro cizí provoz, takže se platící zákazník dívá do internetu z domácí linky někoho jiného.

Jedna podrobnost ukazuje, co operátoři čekají: než systémová aplikace nainstaluje další program, vypne Obchod Play, a po instalaci ho zapne zpátky. Obchod Play přitom nové aplikace sám kontroluje. Pojistka hlídá i to, aby byl obchod zapnutý, když má majitel telefon v ruce.

Tisíce telefonů, dvě ohniska

Za přibližně dvouleté sledování viděl Bitdefender rodinu na tisících přístrojů ve víc než 150 zemích. Nejvíc jich vyšlo v Mexiku, Francii a Itálii, za nimi jsou Spojené státy, Německo, Brazílie a Španělsko. Žádná země výrazně nevede a výzkumníci z toho vyvozují, že to nevypadá na dodávku jednoho operátora nebo jednoho obchodního řetězce, ale na hardware prodávaný přes mezinárodní tržiště.

Část přístrojů se hlásí jmény, která jim nepatří. V naměřených datech stojí „i17 Pro Max“, „17_Pro_Max“, „S24 Ultra“ nebo „Note 18 Ultra“, a jednou i SM-S938B, tedy řetězec, který podle rozboru vypadá jako pravé označení Galaxy S25 Ultra, na telefonu, který Samsung nevyrobil. Dvě nejčastější jména jsou naopak skutečné značky: S200 X, které rozbor spojuje s Doogee, a KingKong X s Cubotem.

Majitelé Cubotů na to narazili v červenci

Tyhle dvě značky se objevily na fóru XDA už 2. července, tedy tři měsíce před rozborem. Majitel Cubotu KingKong X tam popsal balíček com.android.sys.extplv, který mu Norton 360 opakovaně hlásil jako škodlivý a který Android vedl jako nainstalovaný z Obchodu Play. Po smazání se vracel: podle jeho popisu zmizel, když měl telefon zapnuté ladění přes USB a připojený kabel, a za několik hodin po odpojení ho systém nainstaloval znovu. Do vlákna se pak přidal majitel přístroje Doogee Fire 3 Ultra se stejným balíčkem.

Cubot podle příspěvku z 7. července poslal opravnou aktualizaci pro KingKong X a KingKong 9. V odpovědi, kterou ve vlákně otiskl majitel, co firmu kontaktoval, firma napsala, že se do výrobního firmwaru omylem dostalo interní vývojové rozhraní určené jen pro testování a ladění, že ho z firmwaru odstranila a vydala bezpečnostní záplatu. Bitdefender tenhle veřejný případ ve svém rozboru jmenuje jako doklad téhož chování, ne jako shodný balíček – jména balíčků se liší a kde v dodavatelském řetězci se kód do telefonů dostává, jeho analýza neurčuje. Jistá je jen jedna věc: na části zasažených přístrojů byl firmware podepsaný certifikáty se jménem Shenzhen Zediel, a jestli o tom držitel certifikátu věděl, rozbor neříká.

Třináct aplikací v Obchodu Play

Stejný reklamní kód našel Bitdefender i ve třinácti aplikacích zveřejněných v Obchodu Play, pod nejméně dvěma vývojářskými účty a třinácti různými podpisovými certifikáty. Tyhle aplikace systémová práva nemají a dělají, co slibují – ukážou počasí nebo přečtou QR kód –, vedle toho ale zobrazují reklamu mimo vlastní okno, i když zrovna nikdo telefon nepoužívá. Bitdefender je 8. října popisoval jako dostupné; redakce si 13. října zkusila otevřít čtyři z nich podle názvu balíčku a Obchod Play vrátil kód 404, zatímco kontrolní odkaz na živou aplikaci odpověděl normálně.

Příbuznou rodinu podvodných klikačů popsala i firma Doctor Web pod jménem Android.Phantom, tam se ale programy šířily v upravených hrách a aplikacích, ne z výroby.

Co si kupující může ověřit

Google u přístrojů s certifikací Play Protect uvádí, že musejí projít jeho zkouškami a dorazit bez předinstalovaného škodlivého kódu; telefon bez téhle certifikace podle téže stránky nemá ověřené základní zabezpečení. Stav svého telefonu si majitel najde v Obchodu Play: profil vpravo nahoře, Nastavení a položka O aplikaci. Falešné jméno modelu to neprozradí, chybějící certifikaci ano.

Zdroje

• Bitdefender Labs: The phone was compromised before the user turned it on: the rise of Midnight Mimosa, 8. října 2026
• XDA Forums: Need help identifying com.android.sys.extplv, vlákno od 2. července 2026
• Android: Play Protect Certified Android devices
• Nápověda Obchodu Play: Check & fix Play Protect certification status
• Doctor Web: Android.Phantom (záhlaví stránky uvádí 21. ledna 2026, její vlastní text 21. ledna 2025)