Phát hiện mã độc được cài sẵn trên hàng nghìn điện thoại Android giá rẻ

Các chuyên gia bảo mật từ hãng Bitdefender vừa phát hiện một chiến dịch phần mềm độc hại quy mô lớn mang tên 'Midnight Mimosa', trong đó mã độc được cài sẵn trực tiếp ngay trong firmware gốc của nhiều thiết bị di động Android giá rẻ sử dụng dòng chip MediaTek tiết kiệm năng lượng.

Phương thức hoạt động của mã độc

Những chiếc điện thoại Android bị nhiễm mã độc thường được phân phối dưới các nhãn hiệu ít tên tuổi như Cubot, Doogee hoặc các sản phẩm làm giả những dòng điện thoại phổ biến trên thị trường như Samsung Galaxy S24, S25 và S26. Theo phân tích từ Bitdefender, mã độc này âm thầm bổ sung một ứng dụng hệ thống mang tên 'System' với tên gói là com.android.system.lite.

Ứng dụng này hoạt động với toàn quyền quản trị, có khả năng liên tục tải xuống và tự động xóa các ứng dụng tiện ích thoạt nhìn rất vô hại như ứng dụng thời tiết hay phần mềm khóa ứng dụng. Những ứng dụng trung gian này đóng vai trò chính trong việc hiển thị quảng cáo toàn màn hình cũng như các dạng quảng cáo ẩn ngay cả khi người dùng chưa từng khởi động chúng, đồng thời giúp qua mặt các trình quét bảo mật tiêu chuẩn trên thiết bị.

Phạm vi ảnh hưởng và nguồn gốc

Thống kê cho thấy hàng nghìn thiết bị cài sẵn mã độc đã bị theo dõi liên tục trong suốt năm 2024 và 2025. Trong đó, Mexico là quốc gia chịu ảnh hưởng nặng nề nhất với tỷ lệ 13%, tiếp theo là Mỹ đứng ở vị trí thứ tư với 8% và Canada đứng ở vị trí thứ chín với dưới 3% tổng số thiết bị bị phát hiện.

Mặc dù các nhà nghiên cứu vẫn chưa thể xác định chính xác công đoạn nào trong chuỗi cung ứng đã bị can thiệp để cài cắm mã độc, họ đã tìm ra điểm mấu chốt khi chữ ký số trong các ứng dụng độc hại đều dẫn chiếu về nhà sản xuất thiết bị gốc (ODM) Android có tên là Shenzhen Zediel. Bên cạnh đó, 13 ứng dụng khác mang đoạn mã gian lận tương tự do công ty này phát triển cũng từng xuất hiện trên kho ứng dụng Google Play Store và sau đó đã bị gỡ bỏ.

Nguy cơ tiềm ẩn và khuyến cáo cho người dùng

Các chuyên gia cảnh báo rằng những chiến dịch như Midnight Mimosa không chỉ dừng lại ở mục đích gian lận quảng cáo. Chúng hoàn toàn có thể bị kẻ xấu lợi dụng để thực hiện các hành vi nguy hiểm hơn, bao gồm việc biến điện thoại của người dùng thành một phần trong mạng lưới máy tính ma (botnet) hoặc huy động tham gia vào các cuộc tấn công từ chối dịch vụ (DDoS).

Sự việc này gợi nhớ đến một số sự cố tương tự trong quá khứ của thị trường Android, đơn cử như việc hãng Blu tại Mỹ từng bị Ủy ban Thương mại liên bang (FTC) chỉ trích vào năm 2018 vì để nhà thầu firmware thu thập trái phép dữ liệu người dùng, hay sự cố nghiêm trọng vào năm 2016 do nhà thầu Ragentek gây ảnh hưởng tới hàng triệu thiết bị của các hãng Blu, Infinix, Doogee và Xolo.

Từ những rủi ro thực tế trên, người dùng được khuyến cáo nên cân nhắc thật kỹ lưỡng trước khi quyết định mua sắm các mẫu điện thoại có mức giá siêu rẻ từ những thương hiệu vô danh. Mặc dù các thương hiệu lớn như Google, Motorola hay Samsung đôi khi vẫn gặp phải một số lỗ hổng bảo mật, họ luôn duy trì các quy trình kiểm định chặt chẽ nhằm bảo vệ firmware, quản lý cập nhật hệ thống và hỗ trợ người dùng kịp thời khi có sự cố phát sinh.