16/10/2026 · VietTechies · Biên tập
Các nhà nghiên cứu an ninh mạng vừa phát hiện một chiến dịch mã độc lan rộng nhắm vào các dòng điện thoại thông minh Android giá rẻ và hàng giả được mua qua các sàn thương mại điện tử. Mang tên Midnight Mimosa, mã độc này được tích hợp sẵn trong phần sụn của thiết bị, đồng nghĩa với việc điện thoại đã bị nhiễm độc từ trước khi chủ sở hữu bật nguồn lần đầu tiên. Theo báo cáo từ Bitdefender, các phần cứng bị ảnh hưởng bao gồm nhiều thương hiệu giá rẻ chạy nền tảng MediaTek, tác động đến hàng nghìn thiết bị độc nhất tại hơn 150 quốc gia, trong đó Mexico, Pháp và Ý là những khu vực chịu ảnh hưởng nặng nề nhất.
Đặc quyền hệ thống sâu và chiến thuật né tránh
Chiến dịch này dựa trên các ứng dụng hệ thống được ký mã nguồn nền tảng, được xác định qua các gói như com.android.system.lite và các biến thể sau này như com.android.sys.prot. Hoạt động với đặc quyền người dùng cấp hệ thống, mã độc sử dụng các thư viện gốc ẩn để giải mã và thả các khung làm việc bị làm rối khi chạy. Do các thành phần này nằm trực tiếp trong phân vùng firmware, các phương pháp gỡ cài đặt thông thường hoàn toàn không có tác dụng.
Các nhà nghiên cứu đã phát hiện ra mối đe dọa này bằng công cụ giám sát hành vi thay vì quét tĩnh truyền thống, do các ứng dụng độc hại giả mạo làm thành phần cốt lõi của hệ điều hành. Khi hoạt động, công cụ hỗ trợ chính sẽ yêu cầu các quyền nhạy cảm bao gồm Trợ năng, Truy cập thông báo và quyền kiểm soát tin nhắn SMS, trao cho kẻ vận hành khả năng từ xa để cài đặt hoặc gỡ bỏ phần mềm tùy ý.
Kiếm tiền thông qua gian lận quảng cáo và trạm trung chuyển Botnet
Mục tiêu chính của Midnight Mimosa dường như là tạo ra nguồn thu tài chính thông qua gian lận quảng cáo tự động và mạng lưới proxy. Thành phần hỗ trợ hệ thống âm thầm triển khai một danh sách xoay vòng các ứng dụng ngụy trang — chẳng hạn như tiện ích thời tiết và khóa ứng dụng — có tải phần mềm quảng cáo hợp pháp. Các plugin hình ảnh ẩn sau đó sẽ tạo ra các lượt hiển thị quảng cáo trái phép đè lên các cửa sổ khác mà người dùng không hề hay biết.
Ngoài ra, các thiết bị bị nhiễm mã độc còn được tái sử dụng làm nút trung chuyển proxy dân cư, biến chúng thành các thây ma botnet có khả năng tiếp tay cho lưu lượng truy cập tấn công từ chối dịch vụ phân tán. Để né tránh việc bị phát hiện trong quá trình cài đặt mã tải trọng, mã độc tạm thời vô hiệu hóa Google Play Store cùng các cơ chế quét tích hợp trước khi khôi phục lại hoạt động bình thường.
Tác động phần cứng lan rộng và sự mơ hồ trong chuỗi cung ứng
Phần cứng bị ảnh hưởng bao gồm nhiều mẫu máy giá rẻ cùng các thiết bị giả mạo mô phỏng các dòng điện thoại cao cấp nổi tiếng, với các chuỗi tên trùng khớp như Galaxy S25 Ultra, i17 Pro Max, cùng các dòng máy giá rẻ cụ thể từ Doogee và Cubot. Một số bản dựng firmware chứa chứng chỉ ký kết liên kết đến Shenzhen Zediel, mặc dù các điều tra viên nhấn mạnh điều này không đồng nghĩa với việc khẳng định chắc chắn công ty này có liên quan, vì thời điểm nhiễm độc chính xác trong chuỗi cung ứng toàn cầu vẫn chưa được xác định.
Phân tích: Sự xói mòn lòng tin đối với phần cứng di động giá rẻ
Việc phát hiện Midnight Mimosa làm nổi bật một lỗ hổng bảo mật cấu trúc nghiêm trọng trong hệ sinh thái điện tử tiêu dùng, cho thấy áp lực kinh tế nhằm sản xuất điện thoại thông minh siêu rẻ có thể làm tổn hại đến tính toàn vẹn cơ bản của thiết bị. Khi mã độc được tích hợp ở cấp độ firmware trước khi thiết bị đến tay người dùng cuối, các giả định bảo mật truyền thống của người tiêu dùng sẽ hoàn toàn sụp đổ. Người dùng cuối không còn giải pháp khắc phục thực tế nào, bởi vì các công cụ gỡ bỏ ứng dụng thông thường hay khôi phục cài đặt gốc đều không thể xóa sạch các điểm xâm nhập tại phân vùng hệ thống. Thực tế này chuyển gánh nặng phòng thủ khỏi người dùng cá nhân sang các nhà sản xuất phần cứng, đơn vị tích hợp thiết kế gốc và các sàn thương mại điện tử. Chiến dịch này nhấn mạnh rằng bảo mật di động không thể chỉ dựa độc quyền vào việc quét ứng dụng sau khi mua; thay vào đó, nó đòi hỏi sự minh bạch và kiểm toán nghiêm ngặt ở mọi tầng của chuỗi cung ứng phần cứng nhằm ngăn chặn các quy trình kiếm tiền trái phép tiếp cận những người mua nhẹ dạ.
Ảnh bìa: minh họa do AI tạo, kèm chữ tiêu đề; không phải ảnh tư liệu.
Nguồn: Low-cost Android phones are arriving with malware that owners can’t uninstall · The phone was compromised before the user turned it on: the rise of Midnight Mimosa