据安全机构Bitdefender报告，部分从在线市场购买的低价安卓手机，在发货前已被植入名为“午夜莫吉托”（Midnight Mimosa）的恶意软件。该恶意软件深植于设备固件中，随出厂系统一同存在，用户无法通过常规手段卸载。
系统级潜伏与多重牟利
Bitdefender指出，在手机首次开机前，系统即已被完全攻陷。该恶意软件以系统级权限运行，能够静默安装或卸载应用、授予权限，并加载远程代码。这意味着攻击者可随意定制设备，甚至将其纳入大型僵尸网络。
该攻击活动旨在通过多种途径牟利：包括广告点击欺诈、收集设备及应用信息，以及将受感染设备转化为住宅代理中继节点。由于用于DDoS攻击的僵尸网络访问权是热门商品，僵尸网络规模越大，攻击者收益越高。
目前，该活动已在150多个国家的数千台设备上被发现，墨西哥、法国和意大利为重灾区，美国、德国、巴西和西班牙紧随其后。
山寨旗舰与知名品牌中招
受影响设备中，部分为借用旗舰机名称的山寨产品，型号字符串包括“i17 Pro Max”、“S25 Ultra”、“S24 Ultra”和“Note 18 Ultra”。值得注意的是，部分非三星生产的设备也伪造了Galaxy S25 Ultra的型号代码SM-S938B。
在确认为受感染的设备中，Doogee S200 X和Cubot KINGKONG X最为常见。XDA论坛用户反馈，这些手机上的可疑应用在删除后会自动重新安装。
伪装系统组件规避检测
调查始于对异常应用com.android.system.lite的检测。该应用反复开启辅助功能和通知访问权限，静默操控其他应用。另一个伪装成应用锁的组件com.mobile.applock.wt，实则为高度混淆的下载器。
这些系统应用具有平台签名，恶意代码隐藏于原生库中，仅在运行时激活。其标签显示为“System”，无图标且不出现在启动器中，以系统用户身份从命令与控制（C2）服务器拉取代码。Bitdefender将该组件称为“启用器”，负责安装和控制执行欺诈的应用，同类代码还以com.android.sys.prot等名称分发。
窃取隐私与广告欺诈
恶意软件会将IMEI、Android ID、MAC地址等信息发送至C2服务器，并获取辅助功能、通知访问及短信权限。虽然Bitdefender未观察到这些权限的实际滥用，但攻击者可借此读取屏幕内容、查看输入、截取验证码或发送高价短信。
在广告欺诈方面，该系统应用会轮换安装至少32个伪装应用（如天气、笔记工具等），这些应用携带合法广告SDK。隐藏插件会在屏幕上覆盖窗口显示广告，并将窗口标记为“安全”以防截图，同时模拟人类点击行为以欺骗广告网络。
此外，Google Play上也有13个应用使用了相同的欺诈代码并与同一服务器通信。这些应用通过Play审核，由fivedev和CPS Developer等账户发布，利用不同证书签名轮换身份以规避检测。在安装此类应用时，恶意软件会暂时禁用Google Play Protect扫描，安装后再重新开启以掩人耳目。
供应链污染与修复难题
部分受感染应用的证书签名指向深圳泽迪电子（Shenzhen Zediel），但Bitdefender强调这并不证明该公司知情或参与开发，因为未使用该签名的固件也携带相同恶意软件。研究人员推测，恶意软件可能在ODM、固件集成、物流或分销等供应链环节被引入。
由于恶意软件驻留在系统分区，普通用户无法移除。清除需进行固件级清理或通过ADB禁用，这对大多数用户而言并不现实。Bitdefender总结称，持久的解决方案在于供应商和销售受影响固件的市场层面。