Když si koupíte nový telefon, čekáte, že začínáte s čistým zařízením. Výzkum Bitdefender Labs z října 2026 ukazuje, že to neplatí vždy: kampaň pojmenovaná Midnight Mimosa distribuuje škodlivý kód přímo ve firmwaru levných androidních telefonů. Malware je v zařízení dřív, než ho majitel poprvé zapne – a běžným způsobem se nedá odinstalovat.
Jak to funguje
Jádrem je systémová aplikace podepsaná klíčem platformy, která se vydává za součást systému – nemá ikonu a v seznamu aplikací se jmenuje prostě „System“. Protože sídlí v systémovém oddílu a běží se systémovými právy, přežije i tovární reset. Po spuštění si od řídicího serveru stáhne další moduly a umí pak na telefon potichu instalovat další aplikace – bez jediného dotazu na uživatele – a sama jim udělovat oprávnění.
Pozoruhodný je způsob, jak malware obchází ochrany Googlu: těsně před každou tichou instalací vypne obchod Play (a s ním kontrolu Play Protect) a po dokončení ho zase zapne. Některé vzorky se navíc vydávají za aplikace nainstalované z obchodu Play, ale chybí jim Googlův podpis, který pravou instalaci z obchodu doprovází.
K čemu to útočníkům slouží
- Reklamní podvody – instalované „krycí“ aplikace (počasí, zámek aplikací, poznámky) generují falešná zobrazení a kliknutí; „konverzi“ hlásí automaticky 60 sekund po zobrazení reklamy.
- Rezidenční proxy – telefon se bez vědomí majitele zapojí jako uzel, přes který cizí strany směrují svůj provoz. Navenek pak vystupují s IP adresou majitele telefonu.
- Sběr identifikátorů – IMEI, identifikátory zařízení, MAC adresy a přehled nainstalovaných aplikací.
Bitdefender napočítal tisíce zasažených zařízení ve více než 150 zemích; nejvíc v Mexiku, Francii a Itálii, následují USA, Německo, Brazílie a Španělsko. Stejný podvodný kód našel i ve 13 aplikacích přímo na Google Play.
Koho se to týká
Zasažené jsou levné telefony s čipy MediaTek – značkové modely nižší třídy (mezi jmenovanými Doogee S200 X nebo Cubot KINGKONG X), ale hlavně no-name a padělaná zařízení, která se vydávají za vlajkové lodě („S25 Ultra“ apod.) a prodávají se přes mezinárodní e-shopy. Podpisové klíče firmwaru vedou ke konkrétnímu dodavateli z Šen-čenu; podle Bitdefenderu to ale ukazuje jen na dodavatelský řetězec firmwaru, ne na autora malwaru – mezi výrobou a koncovým zařízením může stát řada prostředníků.
Co s tím
Nepříjemná zpráva pro majitele: protože malware sedí v systémovém oddílu, běžná odinstalace ani tovární reset nepomohou. Řešením je jen přehrání firmwaru nebo zásah přes vývojářské rozhraní – tedy kroky, které běžný uživatel sám neudělá.
Pro firmy z toho plyne jednoduché poučení: u mobilních zařízení záleží na nákupním kanálu. Extrémně levný nebo neznačkový telefon pro zaměstnance může přijít s nezvaným pasažérem už z krabice – a s ním i s cizím provozem ve firemní síti. Dodavatelský řetězec hardwaru patří do úvah o rizicích stejně jako software. A v naší forenzní praxi případy jako Midnight Mimosa připomínají, že při analýze zařízení je potřeba počítat i s možností, že kompromitace nepřišla od uživatele, ale byla v telefonu od prvního dne.
Poučení: u telefonu se vyplatí dívat nejen na cenu, ale i na původ. Levným napodobeninám známých modelů a neznačkovým zařízením nejasného původu z online tržišť je lepší se vyhnout úplně – to, co s takovým telefonem můžete dostat „navíc“, snadno převáží ušetřené peníze. Pro firemní nasazení doporučujeme kupovat zařízení zavedených výrobců z oficiálních prodejních kanálů.
Zdroj: Bitdefender Labs – Midnight Mimosa (říjen 2026).