มัลแวร์ Midnight Mimosa ในสมาร์ตโฟนแอนดรอยด์ราคาประหยัด ลบออกไม่ได้ พบการใช้งานมากกว่า 150 ประเทศ - Thailand Computer Emergency Response Team (ThaiCERT)

559/69 (IT) ประจำวันจันทร์ที่ 12 ตุลาคม 2569

นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จาก Bitdefender เปิดเผยการค้นพบแคมเปญมัลแวร์ชื่อ Midnight Mimosa ซึ่งถูกติดตั้งล่วงหน้าในเฟิร์มแวร์ของสมาร์ตโฟนระบบปฏิบัติการแอนดรอยด์ราคาประหยัดหลายแบรนด์ ที่ใช้แพลตฟอร์ม MediaTek โดยมัลแวร์ดังกล่าวจะแฝงตัวอยู่ในเครื่องตั้งแต่ก่อนผู้ใช้งานจะเปิดเครื่องเป็นครั้งแรก และไม่สามารถถอนการติดตั้งด้วยวิธีปกติได้ เหตุการณ์นี้ส่งผลกระทบต่อผู้ใช้งานในกว่า 150 ประเทศทั่วโลก โดยเป้าหมายหลักของผู้โจมตีคือการสร้างรายได้ผ่านการฉ้อโกงโฆษณา (Ad Fraud) และการเข้าควบคุมอุปกรณ์เพื่อนำไปสร้างเครือข่ายบอตเน็ต (Botnet) สำหรับใช้เป็นฐานในการโจมตีทางไซเบอร์รูปแบบอื่น

มัลแวร์นี้ทำงานด้วยสิทธิระดับระบบ ทำให้สามารถติดตั้งหรือลบแอปพลิเคชันอื่นได้อย่างเงียบเชียบ โดยเทคนิคที่ใช้คือการปิดระบบ Google Play Store ชั่วคราวเพื่อหลบเลี่ยงกลไกการตรวจสอบความปลอดภัย จากนั้นจะทำการดาวน์โหลดแอปพลิเคชันแฝงที่ดูเหมือนแอปพลิเคชันทั่วไป เช่น แอปพลิเคชันพยากรณ์อากาศ CoolWeather เพื่อใช้เป็นเครื่องมือบังหน้าในการทำงาน ข้อมูลจากการวิเคราะห์พบว่ามัลแวร์มักซ่อนตัวอยู่ในชื่อแพ็กเกจที่ตั้งชื่อคล้ายองค์ประกอบหลักของระบบ โดยในหน้ารายการแอปพลิเคชันจะแสดงชื่อเพียงคำว่า “System” ควบคู่กับไอคอนรูปแอนดรอยด์หรือไอคอนสีเขียวที่ไม่มีสัญลักษณ์เฉพาะเจาะจง นอกจากนี้อุปกรณ์ที่พบอัตราการติดมัลแวร์สูงสุด มักเป็นกลุ่มสมาร์ตโฟนรุ่นราคาประหยัด เช่น รุ่น KINGKONG X ซึ่งพบสัดส่วนอุปกรณ์ที่ได้รับผลกระทบสูงถึงร้อยละ 11.33 รวมถึงสมาร์ตโฟนเลียนแบบที่แอบอ้างใช้ชื่อรุ่นของแบรนด์ชั้นนำแต่ไม่มีอยู่จริงในท้องตลาด

เนื่องจากมัลแวร์ Midnight Mimosa ถูกฝังลึกอยู่ในระดับพาร์ติชันระบบของอุปกรณ์ การป้องกันและแก้ไขด้วยตนเองผ่านการถอนการติดตั้งแอปพลิเคชันจึงไม่สามารถทำได้ เบื้องต้นผู้บริโภคควรลดความเสี่ยงโดยหลีกเลี่ยงการเลือกซื้อสมาร์ตโฟนลอกเลียนแบบ สมาร์ตโฟนที่ไม่มีแหล่งที่มาที่น่าเชื่อถือ หรืออุปกรณ์ที่ใช้เฟิร์มแวร์จากผู้ผลิตที่ไม่ได้รับการรับรองอย่างถูกต้อง สำหรับผู้ที่ใช้งานอุปกรณ์ในกลุ่มเสี่ยง หากพบความผิดปกติของระบบหรือพบแอปพลิเคชันแปลกปลอมติดตั้งเองโดยอัตโนมัติ ควรพิจารณาหลีกเลี่ยงการทำธุรกรรมทางการเงินหรือการบันทึกข้อมูลสำคัญบนอุปกรณ์ดังกล่าว และหากมีความจำเป็นต้องทำความสะอาดระบบ ควรปรึกษาผู้ดูแลระบบหรือผู้เชี่ยวชาญเพื่อระงับการทำงานของส่วนประกอบที่เป็นอันตรายผ่านเครื่องมือสำหรับนักพัฒนา (ADB) ซึ่งเป็นวิธีการเบื้องต้นที่สามารถลดผลกระทบได้

แหล่งข่าว : https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html

559/69（IT）2026 年 10 月 12 日，星期一。

Bitdefender 的网络安全研究人员发现，一种名为“午夜含羞草”（Midnight Mimosa）的恶意软件活动已被预装在多款采用联发科（MediaTek）平台的低价安卓智能手机的固件中。该恶意软件在用户首次开机前就已存在于设备中，且无法通过常规方式卸载。此次事件已影响全球超过 150 个国家/地区的用户。攻击者的主要目标是通过广告欺诈牟利，并控制受感染的设备以建立僵尸网络，从而发起其他形式的网络攻击。

这款恶意软件拥有系统级权限，可以静默安装或卸载其他应用程序。其技术手段是暂时禁用 Google Play 商店，从而绕过安全验证机制。之后，它会下载伪装成合法应用程序的伪装应用，例如 CoolWeather 天气应用。分析显示，该恶意软件通常隐藏在与核心系统组件名称相似的软件包名称中。在应用程序目录中，它只会显示“System”字样以及一个 Android 图标或一个纯绿色图标。此外，感染率最高的设备往往是价格亲民的智能手机，例如 KINGKONG X（占受影响设备总数的 11.33%），以及一些冒充知名品牌但实际上并不存在的假冒智能手机。

由于 Midnight Mimosa 恶意软件深植于设备的系统分区，因此无法通过卸载应用程序进行自我预防和修复。消费者应首先采取措施降低风险，避免购买假冒智能手机、来自不可靠渠道的智能手机或使用未经认证厂商固件的设备。对于存在风险的设备用户，如果检测到系统异常或恶意应用程序自动安装，应考虑避免在设备上进行金融交易或保存敏感数据。如果必须清理系统，请咨询系统管理员或专家，使用开发者工具 (ADB) 禁用恶意组件，这是降低影响的基本方法。

来源：https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html