Telefoane Android ieftine, infectate din fabrică: cum le verifici

Un telefon Android nou, scos din cutie, poate fi deja compromis. Cercetătorii Bitdefender au documentat o campanie numită Midnight Mimosa, în care un program malițios este integrat direct în software-ul de sistem al unor telefoane Android ieftine. Infecția există înainte ca proprietarul să instaleze vreo aplicație sau să-și conecteze contul Google.

Analiza tehnică a fost publicată de Bitdefender Labs pe 8 octombrie 2026 și semnată de cercetătorii Adrian Mihai Gozob și Alex Baciu. Compania de securitate din București a transmis apoi, pe 12 octombrie, un comunicat pentru utilizatorii din România.

Ce este Midnight Mimosa și cum ajunge pe telefon?

Componenta principală se numește com.android.system.lite și apare în lista de aplicații sub eticheta banală „System”. Stă în partiția de sistem, adică în aceeași zonă cu componentele Android livrate de producător. De acolo rulează cu privilegii de sistem, pe care o aplicație obișnuită nu le poate obține.

Programul primește instrucțiuni de la un server extern. Poate instala și dezinstala aplicații fără să-l întrebe pe proprietar și își poate acorda singur permisiuni de accesibilitate, de notificări și de SMS. Bitdefender a identificat cel puțin 32 de aplicații deghizate pe care le rotește, de la aplicații meteo la notițe sau manager de fișiere.

Înainte să instaleze o aplicație nouă, programul dezactivează temporar Magazinul Play, apoi îl repornește. Cercetătorii cred că astfel ocolește verificările Play Protect, sistemul Google care scanează aplicațiile instalate.

Ce face programul cu telefonul tău?

Scopul principal este câștigul din reclame. Aplicațiile instalate în fundal încarcă reclame reale printr-un kit publicitar legitim, dar le afișează într-o fereastră invizibilă, peste alte aplicații.

A doua sursă de venit e mai gravă pentru proprietar. Unele componente transformă telefonul într-un nod de tip „proxy rezidențial”. Prin conexiunea ta de internet trece traficul altor persoane, care apar astfel ca și cum ar naviga de la tine.

Bitdefender a găsit și 13 aplicații din Google Play legate de aceleași servere, care încărcau reclame chiar și cu telefonul în repaus. Niciuna nu mai este disponibilă.

Ce telefoane Android ieftine sunt afectate?

Campania a fost observată pe mii de dispozitive unice, în peste 150 de țări, pe o perioadă de aproximativ doi ani. Toate folosesc procesoare MediaTek și sunt, de regulă, modele ieftine, fără marcă cunoscută sau contrafăcute.

O parte din ele imită numele telefoanelor de top. În datele Bitdefender apar denumiri ca „S25 Ultra”, „S26 Ultra”, „i17 Pro Max”, „Note 18 Ultra” sau „Honor Magic 15 MAX”, pe dispozitive care nu au nicio legătură cu Samsung, Apple sau Honor. Printre modelele cu cele mai multe infecții, cercetătorii menționează S200 X, asociat mărcii Doogee, și KINGKONG X, asociat mărcii Cubot.

Firmware-ul compromis era semnat cu un certificat atribuit companiei Shenzhen Zediel, din China. Bitdefender precizează că legătura arată doar lanțul de producție al firmware-ului. Ea nu dovedește că firma a creat programul sau că a știut de el.

Cum verifici dacă telefonul tău e compromis?

Prima verificare este numele modelului. Intră în Setări, apoi Despre telefon, și compară modelul afișat cu cel de pe factură. Un „S25 Ultra” care nu e produs de Samsung e un semnal clar.

A doua verificare ține de certificarea Google. Deschide Magazinul Play, intră în Setări, apoi în secțiunea Despre, și caută rubrica „Certificare Play Protect”. Un telefon necertificat merită tratat cu suspiciune.

Mai departe, uită-te în lista completă de aplicații, inclusiv cele de sistem. Aplicații meteo sau de notițe pe care nu le-ai instalat, reclame care apar peste alte aplicații, consum mare de date mobile, baterie care se descarcă repede sau un Magazin Play care se oprește singur sunt semnalele descrise de Bitdefender. Indicatorul hardware din analiză este adresa MAC Wi-Fi a dispozitivului care începe cu A0:53:94. Ea apare în Despre telefon, la secțiunea Stare, dar multe telefoane afișează pe rețea o adresă aleatorie, deci contează adresa dispozitivului.

Dacă ai un astfel de telefon, nu-l folosi pentru aplicația băncii sau pentru codurile de autentificare în doi pași. Salvează-ți pozele și fișierele, dar nu muta aplicații sau setări pe telefonul următor. Am scris recent și despre malware-ul RatHat, care fură PIN-uri și coduri bancare.

Ajută o resetare la setările din fabrică?

Nu. Pentru că programul stă în partiția de sistem, resetarea îl readuce la starea inițială, adică tot infectat. Dezinstalarea normală nu funcționează, iar eliminarea cere fie curățarea firmware-ului, fie dezactivarea componentei prin ADB, un instrument pentru dezvoltatori. Bitdefender spune că majoritatea utilizatorilor nu pot face asta realist și că remedierea durabilă ține de producătorii și magazinele care vând aceste telefoane.

Ce poți face dacă ai cumpărat telefonul din România?

Cele mai expuse sunt telefoanele cumpărate online, din marketplace-uri sau de la vânzători necunoscuți, cu promisiuni de „flagship” la o fracțiune din preț. Dacă telefonul a fost comandat online și ești încă în primele 14 zile de la primire, poți folosi dreptul de retragere din contract, fără să justifici decizia. După acest termen, un produs livrat cu software malițios preinstalat poate fi reclamat ca neconform. Ceri vânzătorului înlocuirea sau banii înapoi, iar dacă refuză, poți depune o sesizare la ANPC.

Pentru viitor, verifică codul exact al modelului pe site-ul producătorului și cumpără de la retaileri cunoscuți. Atenția la sursa aplicațiilor rămâne la fel de importantă, cum arată și cazul WhatsApp-ului fals din Magazin Play, cu 500.000 de descărcări. Pentru protecția de bază, merită să activezi și noile protecții anti-fraudă din Android care funcționează în România, iar despre riscurile venite prin publicitate am scris în ghidul despre spyware-ul livrat prin reclame.