Midnight Mimosa: มัลแวร์ฝังในเฟิร์มแวร์มือถือ Android ราคาถูกชิป MediaTek พบกว่า 150 ประเทศ — แอประบบลบไม่ได้ ลงแอปเงียบ ปั๊มคลิกโฆษณา และเปลี่ยนเครื่องเป็น residential proxy

สรุปสั้น

บริษัท Bitdefender เปิดโปงแคมเปญ Midnight Mimosa มัลแวร์ที่ติดมากับเฟิร์มแวร์ของมือถือและแท็บเล็ต Android ราคาถูกที่ใช้ฮาร์ดแวร์ MediaTek ผู้ซื้อเปิดเครื่องครั้งแรกมัลแวร์ก็อยู่ในเครื่องแล้ว ตัวมัลแวร์เป็นแอประบบที่ลงนามด้วย platform key ของเฟิร์มแวร์ ทำงานด้วยสิทธิ์ระดับระบบ ซ่อนไอคอน และผู้ใช้ถอนการติดตั้งตามปกติไม่ได้ ผู้ควบคุมสั่งผ่าน C2 ให้ติดตั้งหรือลบแอป ให้สิทธิ์ และโหลดโค้ดใหม่จากระยะไกลได้ตามต้องการ

ตลอดราว 2 ปีที่ผ่านมา Bitdefender พบเครื่องติดเชื้อไม่ซ้ำกันหลายพันเครื่องในกว่า 150 ประเทศ โดยไม่มีประเทศใดครองสัดส่วนชัดเจน เม็กซิโกและฝรั่งเศสนำ ตามด้วยอิตาลี สหรัฐฯ เยอรมนี บราซิล และสเปน เป้าหมายหลักคือรายได้จากการโกงคลิกโฆษณาและการขายเครื่องเป็นโหนด residential proxy นอกจากนี้ยังพบแอป 13 ตัวบน Google Play ที่มีโค้ดโกงโฆษณาตระกูลเดียวกัน ซึ่งเป็นช่องทางแพร่กระจายเสริม Bitdefender ระบุว่าใบรับรอง platform key โยงไปถึงผู้รับจ้างผลิตเฟิร์มแวร์ในเซินเจิ้น แต่เน้นว่าเป็นการชี้ห่วงโซ่อุปทาน ไม่ใช่หลักฐานว่าบริษัทนั้นเป็นผู้เขียนหรือรู้เห็น

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 9 ตุลาคม 2569 อ้างรายงานของ Bitdefender ที่เผยแพร่เมื่อ 8 ตุลาคม ว่าผู้ไม่หวังดีฉวยความต้องการมือถือ Android ราคาถูกทั่วโลกด้วยการขายเครื่องที่ฝังมัลแวร์มาตั้งแต่โรงงาน Bitdefender อธิบายว่ามัลแวร์ “ทำงานด้วยสิทธิ์ระดับระบบที่ติดตั้งและลบแอป ให้สิทธิ์ และโหลดโค้ดที่ส่งมาจากระยะไกลได้อย่างเงียบ ๆ ผู้ควบคุมจึงติดตั้งและลบแอปได้ตามใจ ปรับแต่งแต่ละเครื่องตามความต้องการ รวมถึงทำให้เครื่องเป็นส่วนหนึ่งของบอตเน็ตขนาดใหญ่”

ฮาร์ดแวร์ที่พบคือบอร์ด k62v1_64_bsp (MediaTek MT6762) และรุ่นจาก ODM ที่มีรหัสภูมิภาค เช่น J10_EEA, A9_EEA, T13_EEA และ Q6_EEA รุ่นที่พบมากที่สุดรายงานตัวเองเป็น Doogee S200 X และ Cubot KINGKONG X ส่วนเครื่องจำนวนมากรายงานชื่อรุ่นปลอมเป็นเรือธงอย่าง S25 Ultra, S26 Ultra, i17 Pro Max หรือ SM-S938B ทั้งที่ไม่ใช่เครื่อง Samsung หรือ Apple Bitdefender จึงเตือนว่าชื่อรุ่นเป็นสัญญาณการปลอมแปลง ไม่ใช่รายการรุ่นที่ได้รับผลกระทบจริง

SecurityWeek ตั้งข้อสังเกตว่ารายงานไม่ได้ระบุว่าผู้อยู่เบื้องหลังทำเงินได้เท่าไร แต่มีรายการ IoC จำนวนมากให้องค์กรใช้ตรวจจับ ขณะที่ Bitdefender ประเมินว่าแผนนี้ “น่าจะออกแบบมาเพื่อสร้างรายได้เป็นหลัก”

อัปเดต 13 ตุลาคม 2569: The Hacker News รายงานเพิ่มเติมว่ารายชื่อประเทศที่พบเครื่องติดเชื้อมากรวมถึงไทย ต่อจากเม็กซิโก ฝรั่งเศส อิตาลี สหรัฐฯ เยอรมนี บราซิล สเปน สหราชอาณาจักร แคนาดา โรมาเนีย และโปแลนด์ เครื่องจำนวนมากเป็นมือถือราคาถูก white-label หรือของปลอมที่ยืมชื่อรุ่น Samsung Galaxy และ iPhone แอป 13 ตัวบน Google Play ที่คุยกับเซิร์ฟเวอร์ชุดเดียวกัน (ปัจจุบันถูกถอดแล้วทั้งหมด) ได้แก่ Wavrge (com.audify.editor.wavrge), App Icon DIY (appicon.diy.tools.prop), Audify (com.audify.editor.pro), QR Pocket (com.prorestore.qr), All Deleted Messages Recovery (com.message.recovery.prorestore), WeatherGo (com.go.weather.mot), CoolWeather (com.cool.weather.yl), Daily Weather (com.dmstudio.weather), Lock & Hide (com.dl.guard.lock), QuickText Extractor (picturetranslate.extractor.text.lite), NoteMaster (com.notemaster.record.mark), Tap to Translate (com.arabmusic.tap.aghani_tamerhosny) และ Tasky (org.life.goal.tools) Bitdefender ยังพบโครงสร้างพื้นฐานทับซ้อนบางส่วนกับ Android.Phantom ที่ Doctor Web รายงานเมื่อมกราคม 2569 ว่าแฝงมากับเกมดัดแปลงเพื่อโกงคลิก

วิธีการโจมตี

แอประบบที่ฝังในเฟิร์มแวร์

ตัวเปิดทางหลักคือแอป com.android.system.lite ใช้ชื่อแสดงว่า “System” ซ่อนไอคอน ตั้งเป็น sharedUserId=android.uid.system แบบ persistent และลงนามด้วย platform key ของเฟิร์มแวร์ จึงได้สิทธิ์อย่าง INSTALL_PACKAGES, DELETE_PACKAGES, GRANT_RUNTIME_PERMISSIONS และ WRITE_SECURE_SETTINGS พบสายพันธุ์อื่นในชื่อ com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot และอีกหลายชื่อ ไลบรารีเนทีฟ libeasy.so (บางรุ่นเปลี่ยนชื่อเป็น libunionprt.so) ถอดรหัส RC4 ปล่อยเฟรมเวิร์กซ่อน cn.kw.lib.hex ขนาด 142 KB ซึ่งดึงคอนฟิกจาก C2 แล้วโหลดปลั๊กอิน DEX ขั้นที่ 2 และ 3 มาเก็บเป็นไฟล์ magic.o ที่จริงคือ JAR

ปลั๊กอินโกงโฆษณาและติดตั้งแอปเงียบ

ปลั๊กอินแต่ละตัวแยกหน้าที่ ตัวหนึ่งสร้างคลิก การแสดงผล และ “conversion” ปลอมหลังผ่านไป 60 วินาที โดยมีพารามิเตอร์คุมสัดส่วนการคลิกและเพดานรายวันให้ดูเป็นธรรมชาติ อีกสองตัวติดตั้งแอปพาร์ตเนอร์เงียบ ๆ ผ่าน PackageInstaller เช่น com.mobile.applock.en ที่เป็น residential proxy แบบ TCP back-connect และ com.mobile.applock.wt ที่โกงโฆษณาและโหลด DEX จากระยะไกล เฟิร์มแวร์ยังติดตั้งแอป “บังหน้า” ที่ใช้งานได้จริง เช่น พยากรณ์อากาศ ล็อกแอป จดโน้ต และ OCR พร้อม SDK โฆษณาของจริง เครือข่ายโฆษณาจึงบันทึกรายได้ให้แอปเหล่านี้

ปิด Play Protect ระหว่างติดตั้ง

ก่อนติดตั้งเพย์โหลดแต่ละครั้ง ปลั๊กอินสั่ง pm disable com.android.vending ปิด Google Play Store แล้วเปิดกลับเมื่อติดตั้งเสร็จ Bitdefender ระบุว่า “การติดตั้งที่เป็นอันตรายเกิดขึ้นในช่วงที่ตัวสแกนของ Google ถูกปิดอยู่” นอกจากนี้ยังตั้งค่า installer เป็น com.android.vending ทั้งที่ไม่มีลายเซ็นของ Play เพื่อปลอมว่าแอปมาจาก Play Store

เครื่องกลายเป็นโหนด proxy

แต่ละเครื่องลงทะเบียนเป็นโหนดด้วย UUID และลายนิ้วมือของอุปกรณ์ แล้วเชื่อมต่อ TCP ไปยังโฮสต์ควบคุมพอร์ต 6000 เพื่อรับคำสั่งเปิดอุโมงค์ไปยังปลายทางใด ๆ Bitdefender ระบุว่าเครื่องเข้าถึงปลายทางได้ทุกแห่ง รวมถึงเครือข่ายภายใน ที่เครื่องเชื่อมต่ออยู่

ช่องทางเสริมบน Google Play

Bitdefender พบแอป 13 ตัวบน Google Play จากบัญชีนักพัฒนาอย่างน้อย 2 บัญชี (“fivedev” และ “CPS Developer”) ลงนามด้วยใบรับรองแยกกัน 13 ใบ ที่มีเครื่องหมายตระกูลเดียวกับแอปบังหน้า แอปเหล่านี้ไม่มีสิทธิ์ระดับระบบแบบตัวที่ฝังในเฟิร์มแวร์ แต่เป็นช่องทางแพร่กระจายเพิ่มให้ระบบนิเวศเดียวกัน รายงานไม่ได้ระบุยอดดาวน์โหลด ใบรับรอง platform key ของตัวเปิดทางมี DN เป็น CN=ZED, O=ZED, L=ShenZhen, C=CN ซึ่ง Bitdefender จับคู่กับบริษัท Shenzhen Zediel และสายโครงสร้างพื้นฐานบางส่วนเชื่อมโยงกับตระกูลมัลแวร์ Joker, Phantom และ Click ที่ Dr.Web เคยรายงาน

ผลกระทบ

Midnight Mimosa เป็นภัยห่วงโซ่อุปทานที่ผู้ใช้ป้องกันเองแทบไม่ได้ เครื่องมาพร้อมมัลแวร์ตั้งแต่กล่อง อยู่ในพาร์ทิชันระบบ ถอนไม่ได้ และรีเซ็ตเครื่องก็ไม่ช่วย ขณะนี้มันใช้โกงโฆษณาเป็นหลัก แต่สิทธิ์ที่มีทำให้ผู้ควบคุมเปลี่ยนเพย์โหลดเป็นอะไรก็ได้ในวันใดก็ได้ และสิทธิ์ที่ขอไว้ล่วงหน้า (Accessibility, การอ่านการแจ้งเตือน และ SMS) แม้ยังไม่พบว่าถูกใช้ ก็เพียงพอสำหรับขโมย OTP หรือข้อมูลแอปธนาคาร

สำหรับองค์กร ความเสี่ยงที่จับต้องได้ที่สุดคือฟังก์ชัน proxy เครื่องราคาถูกที่พนักงานนำมาใช้ หรือแท็บเล็ตที่จัดซื้อมาใช้เป็นจุดให้บริการ เมื่อต่อ Wi-Fi องค์กรก็กลายเป็นอุโมงค์ให้บุคคลภายนอกเข้าถึงเครือข่ายภายในได้ และทราฟฟิกที่ผู้เช่า proxy ปล่อยออกไปจะถูกมองว่ามาจาก IP ขององค์กร รูปแบบนี้คล้ายเราเตอร์ไวท์เลเบลที่ฝังแบ็กดอร์มาจากโรงงานซึ่งรายงานไว้ในโพสต์ 2026/08/164 คือราคาถูกมาพร้อมต้นทุนด้านความปลอดภัยที่มองไม่เห็น

คำแนะนำ

• กำหนดนโยบายจัดซื้อและ BYOD ให้ใช้อุปกรณ์ Android ที่ผ่านการรับรอง Google Play Protect และมาจากผู้ผลิตที่ออกแพตช์สม่ำเสมอ หลีกเลี่ยงเครื่องโนเนมที่อ้างชื่อรุ่นเรือธง
• ใช้ MDM ตรวจหาแพ็กเกจ com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot และ com.mobile.applock.* รวมถึงแอป 13 ตัวจาก Google Play ตามรายการ IoC
• ตรวจจับจากองค์ประกอบที่ไม่เปลี่ยน ไม่ใช่ชื่อแพ็กเกจ ได้แก่ libeasy.so, cn.kw.lib.hex และโดเมน api.weatherlive[.]world และตรวจที่มาของแอปจากบล็อกลายเซ็นของ Play ไม่ใช่ฟิลด์ installer อย่างเดียว
• ในฝั่งเครือข่าย เฝ้าระวัง MAC ที่ขึ้นต้นด้วย A0:53:94 การเชื่อมต่อ TCP พอร์ต 6000 ไปยังโฮสต์รูปแบบ *.apple.<โดเมนสุ่ม> และบล็อกโดเมนในตาราง IoC
• แยกอุปกรณ์มือถือที่ไม่ได้บริหารจัดการไว้ในเครือข่ายแขก ไม่ให้เข้าถึงเครือข่ายภายใน
• เครื่องที่ติดเชื้อถอนแอปไม่ได้ ทางเลือกคือปิดแพ็กเกจผ่าน ADB (pm disable-user) หรือแฟลชเฟิร์มแวร์ที่สะอาด หากทำไม่ได้ให้เลิกใช้เครื่องนั้น

Indicators of Compromise (IoCs)

คง defang ตามต้นฉบับ · รายการเต็ม (ตัวอย่าง MD5 120 รายการ) อยู่ในรายงานของ Bitdefender

หมายเหตุ: Bitdefender แก้ไขรายงานว่า 85.17.70.38:6000 ที่เคยระบุว่าเป็น C2 แท้จริงเป็น sinkhole

แหล่งอ้างอิง

• SecurityWeek — Pre-Baked Firmware Malware Hits Budget Android Devices in 150+ Countries
• Bitdefender — Midnight Mimosa malware
• The Hacker News — Low-Cost Android Phones Ship With Preinstalled Malware That Turns Them Into Residential Proxies
• PolySwarm — Midnight Mimosa Malware Campaign Exploits Android Firmware Supply Chain