มัลแวร์ Midnight Mimosa ติดมากับเฟิร์มแวร์โทรศัพท์ Android แพร่กระจายในกว่า 150 ประเทศ

โทรศัพท์ถูกเจาะระบบตั้งแต่ก่อนเปิดใช้งานครั้งแรก

อุปกรณ์ Android หลายพันเครื่องในกว่า 150 ประเทศได้รับผลกระทบจาก Midnight Mimosa แคมเปญมัลแวร์ที่ฝังซอฟต์แวร์ประสงค์ร้ายไว้ในเฟิร์มแวร์โทรศัพท์ก่อนที่ผู้ซื้อจะเปิดเครื่อง Bitdefender ระบุแอปพรางตัวอย่างน้อย 32 แอปที่ปฏิบัติการนี้นำไปติดตั้ง รวมถึงแอป 13 แอปบน Google Play ที่มีโค้ดฉ้อโกงโฆษณาชุดเดียวกันและติดต่อกับโครงสร้างพื้นฐานควบคุมของมัลแวร์

ผลการตรวจสอบที่เผยแพร่เมื่อวันที่ 8 ตุลาคม 2026 และปรับปรุงเมื่อวันที่ 9 ตุลาคม ระบุว่าเป็นปฏิบัติการที่ตรวจพบต่อเนื่องราวสองปี อุปกรณ์ที่ได้รับผลกระทบมีทั้งโทรศัพท์ราคาประหยัดที่ใช้แพลตฟอร์ม MediaTek สินค้าปลอมที่อาศัยชื่อรุ่นของ Apple และ Samsung รวมถึงอุปกรณ์ที่แสดงชื่อรุ่นว่า Doogee S200 X และ Cubot KINGKONG X

ประเด็นสำคัญในรายงานทางเทคนิคของ Bitdefenderคือ การติดเชื้อไม่ได้เกิดจากผู้ซื้อดาวน์โหลดแอปน่าสงสัย แต่องค์ประกอบระบบประสงค์ร้ายติดมากับอุปกรณ์ มีสิทธิ์ระดับสูงในระบบปฏิบัติการ และสามารถติดตั้งซอฟต์แวร์เพิ่มเติมโดยไม่ต้องขออนุญาตเจ้าของเครื่อง

ด้วยเหตุนี้ ภัยคุกคามดังกล่าวจึงกำจัดได้ยากเป็นพิเศษ การลบแอปพยากรณ์อากาศหรือล็อกแอปที่ไม่ต้องการ อาจกำจัดส่วนหนึ่งที่มองเห็นได้ แต่ปล่อยองค์ประกอบที่ติดตั้งแอปเหล่านั้นไว้โดยไม่ถูกแตะต้อง นักวิจัยพบเพย์โหลดปรากฏขึ้นซ้ำ ๆ แล้วหายไปบนอุปกรณ์เครื่องเดิม

อย่างไรก็ตาม การตรวจสอบยังมีข้อจำกัด โดยไม่สามารถระบุได้ว่าใครเป็นผู้ฝังมัลแวร์ลงในเฟิร์มแวร์ นักวิจัยพบโค้ดที่สามารถส่งต่อการรับส่งข้อมูลผ่านโทรศัพท์ที่ติดเชื้อ แต่เครื่องทดสอบไม่ได้รับคำสั่งให้ส่งต่อข้อมูล แม้ผู้ปฏิบัติการจะเข้าถึงสิทธิ์ที่มีความอ่อนไหวได้ แต่นักวิจัยไม่พบการใช้งานสิทธิ์เหล่านั้นระหว่างการวิเคราะห์

องค์ประกอบลับที่ควบคุมการติดตั้ง

การตรวจสอบเริ่มต้นขึ้นเมื่อเทคโนโลยีตรวจจับพฤติกรรมของ Bitdefender แจ้งเตือน com.android.system.lite ชื่อและป้ายกำกับ System แบบทั่วไปทำให้ดูเหมือนองค์ประกอบ Android ปกติ แต่การทำงานกลับแตกต่างออกไป โดยติดตั้งและลบแอปอื่นที่ไม่เกี่ยวข้องอย่างเงียบ ๆ พร้อมเปิดใช้สิทธิ์เข้าถึงที่มีความอ่อนไหวซ้ำแล้วซ้ำเล่า

องค์ประกอบนี้ไม่มีไอคอนแอปให้เห็นบนหน้าจอ ลงลายเซ็นสำหรับแพลตฟอร์ม Android ทำงานในฐานะผู้ใช้ระบบ และถูกตั้งค่าให้คงอยู่ต่อไป สิทธิ์ของมันรวมถึงการติดตั้งและลบแพ็กเกจ การมอบสิทธิ์ให้แอปอื่น และการเปลี่ยนการตั้งค่าที่ปลอดภัย ซึ่งเป็นอำนาจที่เกินกว่าปกติสำหรับแอปที่เจ้าของโทรศัพท์ดาวน์โหลดเองอย่างมาก

ต่อมานักวิจัยพบแกนมัลแวร์ชุดเดียวกันภายใต้ชื่ออื่น ได้แก่ com.android.sys.prot, com.android.sys.gmsprot และ com.android.sys.bcprot ส่วนแพ็กเกจ com.android.non.szcz ที่เจ้าของโทรศัพท์รายงาน ก็ถูกระบุว่าเป็นส่วนหนึ่งของตระกูลเดียวกัน บิลด์ต่าง ๆ ใช้ชื่อและในบางกรณีก็ใช้ใบรับรองลงลายเซ็นที่แตกต่างกัน

เรื่องนี้มีความสำคัญต่อการตรวจจับและกำจัด เพราะชื่อแพ็กเกจเพียงชื่อเดียวไม่อาจใช้ระบุภัยคุกคามทั้งหมดได้ โทรศัพท์ที่ไม่มี com.android.system.lite ก็อาจมีมัลแวร์กลไกเดียวกันอีกเวอร์ชันหนึ่ง พฤติกรรมและโค้ดพื้นฐานที่ใช้ร่วมกันจึงเป็นตัวระบุที่มีประโยชน์กว่าชื่อที่แสดงในรายการแอปของ Android

โค้ดจากระยะไกลเปลี่ยนการทำงานของโทรศัพท์ได้อย่างไร

ตรรกะประสงค์ร้ายส่วนใหญ่ซ่อนอยู่ในไลบรารีเนทีฟชื่อ libeasy.so แทนที่จะปรากฏในโค้ดปกติของแอประบบ เมื่อเริ่มทำงาน ไลบรารีใช้การเข้ารหัส RC4 เพื่อซ่อนและถอดคืนเฟรมเวิร์กที่ฝังไว้ ซึ่งมีขนาดประมาณ 142 KB

เฟรมเวิร์กดังกล่าวดึงการกำหนดค่าจากเซิร์ฟเวอร์สั่งการและควบคุม หรือบริการระยะไกลที่ผู้ปฏิบัติการใช้สั่งงานอุปกรณ์ที่ติดเชื้อ นอกจากนี้ยังดาวน์โหลดและโหลดไฟล์ DEX และ JAR ซึ่งเป็นรูปแบบสำหรับบรรจุโค้ดที่ทำงานได้ของ Android และ Java ได้ ทำให้ผู้ปฏิบัติการเปลี่ยนการทำงานของอุปกรณ์ได้หลังจากวางขายไปแล้ว

นักวิจัยระบุปลั๊กอินได้สามตระกูล หนึ่งในนั้นเชื่อมโยงกับ com.wz.sdk.DxFactory และจัดการการแสดงผลและคลิกโฆษณาปลอม ส่วนอีกสองตระกูลเชื่อมโยงกับ com.earnsdk.lib.DxFactory และ com.gogo.third.lib.DxFactory รองรับการติดตั้งและลบแอปอื่นอย่างเงียบ ๆ โดยตระกูลหลังยังมีฟังก์ชัน WebView ด้วย

องค์ประกอบระบบจึงทำหน้าที่เป็นตัวควบคุมที่คงอยู่ถาวร ไม่ใช่มัลแวร์โฆษณาที่มีรูปแบบตายตัวเพียงชุดเดียว การลบเพย์โหลดในวันนี้ไม่ได้หยุดมันจากการดาวน์โหลดเพย์โหลดใหม่ในวันพรุ่งนี้ อีกทั้งการโหลดโค้ดจากระยะไกลร่วมกับการมอบสิทธิ์ระดับสูงยังหมายความว่า กิจกรรมที่อาจเกิดขึ้นมีขอบเขตกว้างกว่าพฤติกรรมที่ตรวจพบระหว่างการสอบสวน

แอปปลอมตัวเป็นแอปทั่วไปเปลี่ยนคลิกปลอมให้เป็นรายได้

เป้าหมายหลักที่ปรากฏของปฏิบัติการนี้คือการหารายได้ นักวิจัยพบแอปเพย์โหลดปลอมตัวอย่างน้อย 32 แอป โดยอ้างว่าเป็นเครื่องมือพยากรณ์อากาศ ล็อกแอป จัดการไฟล์ ปรับแต่งไอคอน รู้จำข้อความ และตัดต่อเสียง บางแอปมีฟังก์ชันให้ใช้งาน ขณะที่บางแอปแทบไม่ได้ทำงานตามที่ชื่อแอประบุ

ตัวอย่างหนึ่งคือ com.mobile.applock.wt ซึ่งอ้างว่าเป็นเครื่องมือล็อกแอป แต่ไม่มีทั้งหน้าจอและโค้ดที่จำเป็นต่อการทำงานดังกล่าว แอปถูกซ่อนจากผู้ใช้และทำหน้าที่เป็นตัวปล่อยมัลแวร์อีกตัว หรือโปรแกรมที่นำซอฟต์แวร์ประสงค์ร้ายเพิ่มเติมมาติดตั้ง เพย์โหลดอื่นที่ตรวจพบ ได้แก่ com.dmstudio.weather, com.dl.guard.lock และ picturetranslate.extractor.text.lite

แอปที่ใช้บังหน้ามาพร้อมชุดพัฒนาซอฟต์แวร์โฆษณา (SDK) ที่ถูกต้องตามปกติ ซึ่งเป็นเครื่องมือที่ช่วยให้แอปแสดงโฆษณาและรับเงินจากกิจกรรมโฆษณา การมี SDK เหล่านี้ทำให้ทราฟฟิกฉ้อโกงมีแอปและรหัสระบุโฆษณาที่สามารถใช้ลงบัญชีรายได้ได้

นักวิจัยด้านความปลอดภัยของ Bitdefender Adrian Mihai Gozob และ Alex Baciu อธิบายการแบ่งหน้าที่ระหว่างองค์ประกอบระบบที่คงอยู่ถาวรกับแอปที่ใช้บังหน้าว่า:

ตัวแอประบบเองไม่ได้ลงทะเบียนการแสดงผลและคลิกโฆษณาปลอม

ตัวควบคุมเป็นผู้ส่งคำสั่ง กำหนดเวลา และสร้างการโต้ตอบเทียม ส่วนรหัสระบุโฆษณาเป็นของแอปที่ใช้บังหน้า แอปต่าง ๆ สื่อสารกันผ่านบริการที่ใช้ร่วมกัน และรายงานรหัสอุปกรณ์เดียวกันไปยังโครงสร้างพื้นฐานที่มีบริการควบคุมซึ่งปลอมตัวเป็น API พยากรณ์อากาศ กลไกนี้เชื่อมแอปอรรถประโยชน์ที่ดูเหมือนไม่เกี่ยวข้องกันให้กลายเป็นปฏิบัติการโฆษณาที่ประสานงานกัน

การวิเคราะห์ทางเทคนิคพบการคลิกอัตโนมัติโดยไม่ต้องสัมผัสหน้าจอ เป้าหมายโฆษณาที่สุ่มเลือก ขีดจำกัดรายวัน และช่วงเวลาระหว่างการโต้ตอบที่สร้างขึ้น นอกจากนี้ยังพบการรายงานการเปลี่ยนเป็นลูกค้าอัตโนมัติหลังจับเวลา 60 วินาที การควบคุมเหล่านี้ช่วยกำหนดจังหวะกิจกรรมปลอม แทนที่จะสร้างเหตุการณ์เดิมซ้ำ ๆ อย่างไม่หยุดยั้ง

Google Play เป็นทั้งเป้าหมายในการหลบเลี่ยงและช่องทางเผยแพร่

ก่อนติดตั้งเพย์โหลด มัลแวร์จะปิด com.android.vending ซึ่งเป็นแอป Google Play Store ชั่วคราว จากนั้นเปิดแอปกลับคืน และมีมาตรการป้องกันให้เปิดแอปคืนเมื่อผู้ใช้อยู่ในเครื่อง Bitdefender ประเมินว่าน่าจะเป็นความพยายามหลบเลี่ยงการตรวจจับของ Play Protect แต่ไม่ใช่หลักฐานว่าการติดตั้งทุกครั้งหลุดรอดจากการสแกน

บางสายพันธุ์ยังปรับเปลี่ยนบันทึกตัวติดตั้งของ Android เพื่อให้ซอฟต์แวร์ที่มัลแวร์ติดตั้งดูเหมือนมาจาก Google Play การปลอมแปลงนี้อาจทำให้แอปที่ไม่คุ้นเคยดูน่าสงสัยน้อยลง เมื่อเจ้าของตรวจสอบแหล่งที่มาของแอป

กลไกโฆษณาใช้พื้นที่แสดงผลหลายแบบ รวมถึงกิจกรรมที่เปิดขึ้นโดยผู้ใช้ไม่ได้ร้องขอ และหน้าต่างซ้อนทับบนแอปอื่น หนึ่งในพื้นที่แสดงโฆษณาถูกกำหนดให้เป็นพื้นที่ปลอดภัย จึงไม่ปรากฏในภาพหน้าจอหรือการบันทึกหน้าจอ รายงานระบุทั้งกิจกรรมโฆษณาที่ซ่อนอยู่และโฆษณาที่แสดงรบกวน จึงไม่ควรเข้าใจว่าปฏิบัติการนี้ทำงานโดยล่องหนทั้งหมด

Google Play ยังเป็นช่องทางเผยแพร่แยกต่างหาก นักวิจัยระบุแอปที่เผยแพร่บนสโตร์ 13 แอป ซึ่งมีโค้ดฉ้อโกงโฆษณาชุดเดียวกันและติดต่อกับโครงสร้างพื้นฐานของ Midnight Mimosa แอปเหล่านี้ใช้ใบรับรองลงลายเซ็นแยกกัน 13 ใบ และบัญชีนักพัฒนาอย่างน้อยสองบัญชีชื่อ fivedev และ CPS Developer

แอปบนสโตร์เหล่านี้ไม่มีสิทธิ์ระดับสูงแบบเดียวกับองค์ประกอบระบบที่ติดตั้งมาล่วงหน้า ความแตกต่างนี้มีนัยสำคัญ เพราะการดาวน์โหลดแอปเหล่านี้ไม่ได้ทำให้แอปมีอำนาจติดตั้งซอฟต์แวร์อย่างเงียบ ๆ โดยอัตโนมัติเหมือนองค์ประกอบเฟิร์มแวร์ที่ถูกเจาะระบบ อย่างไรก็ตาม แอปเหล่านี้ยังแสดงโฆษณานอกหน้าจอของตัวเองได้ แม้เจ้าของจะไม่ได้ใช้งานโทรศัพท์อยู่ก็ตาม

มีรายงานว่าอย่างน้อยแอปบางตัวที่เกี่ยวข้องยังคงอยู่บนสโตร์เมื่อมีการเผยแพร่ข้อมูลผลการตรวจสอบ และ Google ยังไม่ได้ตอบคำขอแสดงความคิดเห็นในทันที ในที่นี้ยังไม่มีการยืนยันกำหนดเวลาการนำแอปออก ผลการตรวจสอบบน Play แสดงให้เห็นว่าผู้ที่เสี่ยงไม่ได้จำกัดอยู่แค่ผู้ใช้ฮาร์ดแวร์ปลอมหรือโทรศัพท์ที่ถูกเจาะระบบตั้งแต่ขั้นตอนการผลิต

พบการลงทะเบียนใช้พร็อกซี แต่ไม่พบการส่งต่อทราฟฟิกจริง

เพย์โหลดอีกตัวหนึ่งคือ com.mobile.applock.en มีองค์ประกอบพร็อกซี TCP พร็อกซีทำหน้าที่ส่งต่อทราฟฟิกอินเทอร์เน็ตแทนผู้อื่น หากการเชื่อมต่อดังกล่าวผ่านโทรศัพท์ของผู้ใช้ทั่วไป ทราฟฟิกอาจดูเหมือนมาจากที่อยู่อินเทอร์เน็ตของเจ้าของเครื่อง แทนที่จะเป็นฝ่ายที่สั่งการจริง

องค์ประกอบนี้ลงทะเบียนอุปกรณ์กับเซิร์ฟเวอร์ระยะไกล และรับคำสั่งให้เชื่อมต่อไปยังปลายทางที่กำหนดพร้อมส่งต่อทราฟฟิกได้ ความสามารถเช่นนี้อาจรองรับเครือข่ายอุปกรณ์ที่ถูกควบคุมจากระยะไกล หรือบอตเน็ต และสร้างรายได้อีกทางจากการขายสิทธิ์เข้าถึงการเชื่อมต่อเหล่านั้น

Bitdefender ยืนยันว่าโครงสร้างพื้นฐานพร็อกซีรับการลงทะเบียนจากเครื่องทดสอบของตน อย่างไรก็ตาม อุปกรณ์ไม่ได้รับปลายทางสำหรับส่งต่อข้อมูลระหว่างการทดสอบ ดังนั้นการตรวจสอบจึงแสดงให้เห็นว่ามีการลงทะเบียนและมีความสามารถในการส่งต่อ แต่ไม่ได้พิสูจน์ว่ามีการส่งต่อข้อมูลจริงในการทดสอบครั้งนั้น

ควรใช้ความระมัดระวังในทำนองเดียวกันกับการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) ซึ่งทำให้เป้าหมายล่มด้วยทราฟฟิกจากอุปกรณ์จำนวนมาก นักวิจัยระบุว่าการเข้าร่วมบอตเน็ตและการโจมตีลักษณะนี้เป็นการใช้งานที่อาจเกิดขึ้นได้ แต่ผลการตรวจสอบไม่ได้ยืนยันว่าโทรศัพท์ที่ติด Midnight Mimosa ใช้โจมตีเป้าหมายใดโดยเฉพาะ หรือระบุลูกค้าที่ซื้อสิทธิ์เข้าถึงการเชื่อมต่อของอุปกรณ์เหล่านั้น

ผลการตรวจสอบพบอุปกรณ์และประเทศใดบ้าง?

เม็กซิโก ฝรั่งเศส และอิตาลีมีจำนวนอุปกรณ์สูงสุด ตามด้วยสหรัฐฯ เยอรมนี บราซิล และสเปน ตัวเลขครอบคลุมอุปกรณ์ที่ไม่ซ้ำกันหลายพันเครื่องในช่วงราวสองปี แต่ไม่มีการระบุยอดรวมที่แน่นอนของแคมเปญ ตัวเลขเหล่านี้เป็นจำนวนที่ตรวจพบ ไม่ใช่การสำรวจโทรศัพท์ติดเชื้อทุกเครื่องที่วางขาย

อุปกรณ์ที่ถูกเจาะระบบมากกว่า 11% ระบุชื่อรุ่นเป็น KINGKONG X ซึ่งเป็นชื่อรุ่นที่เชื่อมโยงกับ Cubot ขณะที่มากกว่า 4% ระบุเป็น S200 X ซึ่งเชื่อมโยงกับ Doogee เมื่อรวมกันแล้ว อุปกรณ์สองกลุ่มตามชื่อรุ่นที่รายงานคิดเป็นสัดส่วนมากกว่า 15% ของรายการตรวจพบ นอกจากนี้ ยังมีรายงานพบรุ่น Cubot Kingkong 9 ในข่าวเกี่ยวกับการตรวจสอบครั้งนี้

โทรศัพท์ 15 แบรนด์ที่พบมากที่สุดคิดเป็น 35.8% ของอุปกรณ์ติดเชื้อ ส่วนประมาณ 64% ถูกจัดอยู่ในกลุ่มอื่น ๆ ซึ่งเป็นตัวเลขปัดเศษตามรายงาน การกระจายนี้ชี้ว่าตลาดที่ได้รับผลกระทบมีความหลากหลาย ไม่ได้จำกัดอยู่กับแบรนด์ที่ระบุได้เพียงแบรนด์เดียว

สตริงชื่อรุ่นปลอมที่พบ ได้แก่ i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra และ Note 18 Ultra นอกจากนี้ยังพบชื่อแท็บเล็ต iPadAirPro อุปกรณ์ Android ราคาประหยัดเป็นผู้รายงานสตริงเหล่านี้ จึงไม่ควรเข้าใจผิดว่าเป็นหลักฐานว่าผลิตภัณฑ์แท้ของ Apple หรือ Samsung มีมัลแวร์ดังกล่าว

ตัวระบุรุ่นเพียงอย่างเดียวเป็นหลักฐานที่ไม่สมบูรณ์ เพราะซอฟต์แวร์สามารถบิดเบือนข้อมูลประจำตัวของอุปกรณ์ได้ การตรวจพบในบางรุ่นก็ไม่ได้ยืนยันว่าเครื่องทุกเครื่องที่ขายในชื่อรุ่นเหล่านั้นติดเชื้อ ผลการตรวจสอบทางเทคนิคกล่าวถึงอุปกรณ์และบิลด์เฟิร์มแวร์ที่ได้รับผลกระทบ ไม่ได้ครอบคลุมผลิตภัณฑ์ MediaTek ทั้งหมดหรือโทรศัพท์ทุกเครื่องจากแบรนด์ที่เอ่ยถึง

ใบรับรองเฟิร์มแวร์ไม่ได้ระบุผู้รับผิดชอบ

เฟิร์มแวร์ที่ได้รับผลกระทบบางส่วนลงลายเซ็นด้วยใบรับรองที่ใช้ชื่อ Shenzhen Zediel หลักฐานการลงลายเซ็นมีความสำคัญ เพราะเชื่อมโยงองค์ประกอบประสงค์ร้ายเข้ากับเฟิร์มแวร์ที่อุปกรณ์เชื่อถือ แต่เพียงอย่างเดียวไม่สามารถยืนยันได้ว่าใครเป็นผู้ฝังมัลแวร์ หรือผู้ถือใบรับรองรู้หรือไม่ว่ามีมัลแวร์อยู่

Gozob และ Baciu ระบุข้อจำกัดอย่างชัดเจนเกี่ยวกับสิ่งที่การตรวจสอบสามารถยืนยันได้ในประเด็นนี้:

เรายืนยันได้เพียงว่าใบรับรองที่ใช้ชื่อ Shenzhen Zediel ถูกนำมาใช้ลงลายเซ็นเฟิร์มแวร์บนอุปกรณ์ที่ได้รับผลกระทบ

รายงานต่าง ๆ อธิบายธุรกิจที่อยู่เบื้องหลังชื่อนี้ไม่ตรงกัน บางแห่งระบุว่าเป็นผู้ผลิตอุปกรณ์ Android ขณะที่บางแห่งระบุว่าอาจเกี่ยวข้องกับผู้พัฒนาเมนบอร์ด แต่คำอธิบายเหล่านั้นไม่ได้ช่วยชี้ว่าใครต้องรับผิดชอบ Bitdefender ยังพบโทรศัพท์ที่ได้รับผลกระทบแต่ไม่มีใบรับรองเฟิร์มแวร์ที่ระบุชื่อ Zediel ด้วย ดังนั้นข้อมูลการลงลายเซ็นนี้จึงไม่ใช่ทั้งคำอธิบายที่ครบถ้วนหรือเครื่องบ่งชี้ที่ใช้ได้กับทุกกรณี

จุดที่มัลแวร์อาจถูกฝังมีตั้งแต่ผู้ผลิตอุปกรณ์ตามแบบ ผู้รวมเฟิร์มแวร์ พันธมิตรด้านโลจิสติกส์ ไปจนถึงบุคคลอื่นในห่วงโซ่การจัดจำหน่าย รายงานไม่ได้ชี้ไปที่ฝ่ายใดฝ่ายหนึ่ง ข้อเท็จจริงที่ยืนยันได้คือมัลแวร์ติดมากับเฟิร์มแวร์ก่อนที่โทรศัพท์ที่ได้รับผลกระทบจะวางขาย

รายงานจากเจ้าของเครื่องชี้ว่าการลบแอปยังไม่พอ

เจ้าของโทรศัพท์ Cubot และ Doogee รายงานว่าแอปน่าสงสัยติดตั้งกลับมาเองหลังลบออก เจ้าของ Doogee Fire 3 Max รายหนึ่งระบุว่าเฟิร์มแวร์ทางการอัปเดตแล้วทำให้เครื่องติดเชื้อ การย้อนกลับไปใช้เฟิร์มแวร์รุ่นเก่าช่วยกำจัดมัลแวร์ และเมื่อติดตั้งอัปเดตเดิมอีกครั้ง มัลแวร์ก็กลับมาอีกครั้ง ทั้งหมดนี้เป็นคำบอกเล่าจากผู้ใช้ ไม่ใช่ประวัติที่มีการตรวจสอบยืนยันโดยอิสระสำหรับเฟิร์มแวร์ที่ได้รับผลกระทบทุกรุ่น

เจ้าของเครื่องบางรายกล่าวว่าอัปเดตจากผู้ผลิตในภายหลังช่วยแก้ปัญหาการติดเชื้อได้ ผู้ผลิตยังไม่ได้อธิบายต่อสาธารณะว่าโค้ดประสงค์ร้ายเข้ามาอยู่ในเฟิร์มแวร์ที่ได้รับผลกระทบได้อย่างไร เมื่อพิจารณาร่วมกัน คำบอกเล่าเหล่านี้สนับสนุนให้ตรวจสอบเวอร์ชันเฟิร์มแวร์เป็นส่วนสำคัญของการสืบหาสาเหตุและซ่อมแซม แทนที่จะคิดว่าการลบแอปที่ดาวน์โหลดมาจะยุติปัญหาได้

ลำดับเหตุการณ์หลักที่การตรวจสอบและรายงานในเวลาต่อมาระบุไว้มีดังนี้:

• ตลอดช่วงเวลาราวสองปี Bitdefender ตรวจพบอุปกรณ์ที่ได้รับผลกระทบหลายพันเครื่องในกว่า 150 ประเทศ
• วันที่ 8 ตุลาคม 2026 Bitdefender เผยแพร่ผลการตรวจสอบ Midnight Mimosa
• วันที่ 9 ตุลาคม 2026 มีการปรับปรุงรายงานทางเทคนิค
• เมื่อมีรายงานเผยแพร่วันที่ 12 ตุลาคม แอปที่เกี่ยวข้องบน Google Play และผู้รับผิดชอบต่อเฟิร์มแวร์ที่ได้รับผลกระทบยังเป็นประเด็นที่ไม่มีข้อยุติ

Bitdefender ระบุว่าการกำจัดมัลแวร์ต้องจัดการกับเฟิร์มแวร์ หรือปิดใช้งานองค์ประกอบประสงค์ร้ายผ่าน Android Debug Bridge ซึ่งมักเรียกย่อว่า ADB ADB เป็นเครื่องมือที่ช่วยให้คอมพิวเตอร์สื่อสารกับอุปกรณ์ Android เพื่อดีบักและจัดการระบบ การปิดใช้งานองค์ประกอบไม่เหมือนกับการเปลี่ยนเฟิร์มแวร์ที่ถูกเจาะระบบด้วยเวอร์ชันสะอาดที่ผ่านการตรวจสอบแล้ว

ยังไม่มีคำสั่งกำจัดมัลแวร์ที่ใช้ได้กับทุกกรณี หรือรายการเฟิร์มแวร์สะอาดที่ได้รับการยืนยัน เจ้าของเครื่องควรขอแนวทางแก้ไขหรือเครื่องทดแทนที่ผ่านการตรวจสอบจากผู้ขายหรือผู้ผลิต แทนที่จะคิดว่าอัปเดตนั้นปลอดภัยเพียงเพราะระบุว่าเป็นทางการ ระหว่างที่สถานะยังไม่ชัดเจน การหลีกเลี่ยงธุรกรรมธนาคาร การยืนยันตัวตนบัญชีที่มีความอ่อนไหว และการเก็บข้อมูลสำคัญไว้ในอุปกรณ์ที่ทราบว่ามีปัญหา เป็นมาตรการป้องกันที่รอบคอบ

ความเสี่ยงยังรวมถึงสิทธิ์เข้าถึงข้อมูลอ่อนไหวที่นักวิจัยไม่พบว่ามีการนำไปใช้ Accessibility และ Notification Access ถูกเปิดและปิดซ้ำ ๆ และมีสิทธิ์เข้าถึง SMS อยู่ด้วย ความสามารถเหล่านี้อาจเปิดเผยเนื้อหาบนหน้าจอ การแจ้งเตือน หรือข้อความยืนยันตัวตนได้ หากโค้ดที่ส่งมาจากระยะไกลสั่งให้ทำงาน นี่คือความเสี่ยงที่มีอยู่จริง แต่ไม่ใช่หลักฐานว่า Midnight Mimosa ขโมยข้อมูลเหล่านั้นระหว่างการวิเคราะห์

ประเด็นสำคัญ

• พบ Midnight Mimosa ฝังอยู่ในเฟิร์มแวร์ Android ก่อนที่อุปกรณ์ที่ได้รับผลกระทบจะถึงมือผู้ซื้อ
• Bitdefender ตรวจพบอุปกรณ์ที่ได้รับผลกระทบหลายพันเครื่องในกว่า 150 ประเทศ ตลอดช่วงเวลาราวสองปี
• ปฏิบัติการนี้ติดตั้งแอปเพย์โหลดปลอมตัวอย่างน้อย 32 แอป ส่วนแอป 13 แอปบน Google Play ใช้โค้ดและโครงสร้างพื้นฐานฉ้อโกงโฆษณาร่วมกัน
• สิทธิ์ระดับระบบเปิดทางให้ติดตั้งแอปและมอบสิทธิ์ได้อย่างเงียบ ๆ รวมถึงโหลดโค้ดจากระยะไกล
• ยืนยันการลงทะเบียนใช้พร็อกซี แต่ไม่พบการส่งต่อทราฟฟิกจริงบนอุปกรณ์ทดสอบ
• ใบรับรองลงลายเซ็นเฟิร์มแวร์ไม่ได้ระบุว่าใครเป็นผู้ฝังมัลแวร์ หรือผู้ถือใบรับรองมีส่วนเกี่ยวข้องหรือไม่
• การลบแอปที่ใช้บังหน้าเพียงอย่างเดียวไม่ได้จัดการองค์ประกอบที่คงอยู่ถาวร การกำจัดต้องแก้ไขเฟิร์มแวร์หรือปิดใช้งานองค์ประกอบดังกล่าว