低価格Android端末に出荷時からマルウェア混入、遠隔プロキシ化や広告詐欺に悪用——Bitdefender報告

要点

• 複数のブランドの低価格Androidスマートフォンにおいて、出荷時のファームウェアに悪意あるプログラムが組み込まれていたことが判明した。

• ルーマニアのセキュリティ企業Bitdefenderはこの攻撃活動を「Midnight Mimosa」と命名し、端末が住宅用プロキシや広告詐欺に悪用されていると報告した。

• マルウェアはシステム権限で動作し、任意のコード実行やアプリの無断追加・削除、Google Playプロテクトの回避などを行う。

• 公式ストア「Google Play」上でも同じ制御サーバーと通信する13本のアプリが確認されたが、現在は削除されている。

• 被害はメキシコを中心に世界150カ国以上、数千台の端末に及んでおり、製品の製造サプライチェーンが侵害された可能性が指摘されている。

• ルーマニアのサイバーセキュリティ企業Bitdefenderは2026年10月13日、複数のブランドが販売する低価格なAndroidスマートフォンに、出荷時点で不正なプログラムが組み込まれていたとする調査結果を公表した。このマルウェアは端末のファームウェア内に潜み、利用者が気づかないうちにアプリを不正に導入・削除したり、端末を住宅用プロキシに変えて広告詐欺を行ったりするという。同社は一連の活動を「Midnight Mimosa」と名付けて追跡しており、過去約2年間にわたり世界各地の数千台に及ぶ端末で感染が確認されていると説明している。

ファームウェアに潜む「Midnight Mimosa」

調査によると、標的となったのは台湾MediaTek（メディアテック）社のプラットフォームを採用したAndroid端末で、複数のブランドにまたがって確認された。影響を受けた端末の多くは、ノーブランド品（ホワイトラベル）や模倣品などの安価なモデルだという。

これらの端末には、「com.android.system.lite」と呼ばれる不正プログラムが出荷時の基本ソフト（ファームウェア）の段階であらかじめ組み込まれていた。これにより、マルウェアはOSの根幹にアクセスできる最上位の権限である「システムレベルの権限」を持って動作する。攻撃者は外部サーバーから遠隔で設定を取得し、広告詐欺や提携アプリのサイレントインストールを行う追加プログラムを自在にダウンロードして実行させていた。端末の利用状況に合わせて構成を変更し、遠隔操作される感染端末群である「ボットネット」の一部として操ることが可能だったとされる。

システム権限の悪用と防御機能の回避

このマルウェアは、少なくとも32種類の偽装アプリを定期的に入れ替えながら導入できる能力を持つ。さらに、SMSの閲覧や通知の取得、端末操作を支援する「ユーザー補助（アクセシビリティ）サービス」へのアクセス権限を自身に勝手に付与するほか、端末内の任意のアプリに対しても自由に権限を与えることが可能だったという。また、遠隔から送られてくる任意のプログラムコードを読み込んで実行することもできた。

加えて、セキュリティ対策をかいくぐる手口も巧妙だ。マルウェアは追加アプリを端末にインストールする直前に、公式の「Google Playストア」アプリを一時的に無効化していた。これはAndroid標準の保護機能「Google Playプロテクト」による検知を回避する狙いがあったとみられており、追加アプリの実行が完了すると再びPlayストアを有効化していた。

住宅用プロキシ化と見えない広告詐欺

Bitdefenderによれば、この攻撃の主な目的は金銭的利益の獲得だという。攻撃者はデバイス情報や導入済みアプリの一覧を収集するほか、広告やクリックの詐欺を行っていた。

特に注目されるのが、感染端末を「住宅用プロキシ（一般家庭などの正規回線のIPアドレスを経由して通信させる仕組み）」の中継ノードに変えてしまう点だ。攻撃者は端末を遠隔操作して通信を中継させ、いわばゾンビ端末としてボットネットに組み込んでいた。

広告詐欺の手法も分業化されている。マルウェア本体が直接クリックを行うのではなく、一見無害なツールアプリを装った「ドロッパー（別の不正プログラムを端末内に送り込むアプリ）」を介して行われていた。ドロッパーは正規の広告開発キット（SDK）を用いて本物の広告を読み込み、アプリの最前面に目に見えない透明なウィンドウを配置して広告表示をカウントさせていたという。

公式Playストアでも13本の関連アプリを確認

この活動は工場出荷時の端末だけにとどまらない。Bitdefenderは、マルウェアの制御サーバーと通信する13本のアプリが公式のGoogle Play上でも配布されていたことを突き止めた。

これらのアプリは、天気予報やQRコードスキャンなど本物の機能を提供していた点がプリインストール型とは異なっていた。しかし裏では、ユーザーがスマートフォンを操作していない待機中も含め、アプリ画面の外側に広告を読み込んで表示させる不正な挙動を行っていたとされる。

確認されたアプリは以下の13本で、現在はすべてGoogle Playストアから削除されている。

• Wavrge（com.audify.editor.wavrge）
• App Icon DIY（appicon.diy.tools.prop）
• Audify（com.audify.editor.pro）
• QR Pocket（com.prorestore.qr）
• All Deleted Messages Recovery（com.message.recovery.prorestore）
• WeatherGo（com.go.weather.mot）
• CoolWeather（com.cool.weather.yl）
• Daily Weather（com.dmstudio.weather）
• Lock & Hide（com.dl.guard.lock）
• QuickText Extractor（picturetranslate.extractor.text.lite）
• NoteMaster（com.notemaster.record.mark）
• Tap to Translate（com.arabmusic.tap.aghani_tamerhosny）
• Tasky（org.life.goal.tools）

サプライチェーン侵害の疑いと世界的な被害

出荷前の端末ファームウェアにマルウェアが潜んでいたという事実は、製造サプライチェーンの段階で侵入を受けた可能性を強く示唆している。

問題のファームウェアは、中国の端末受託製造メーカーShenzhen Zediel Co., Ltd（深圳Zediel）の証明書でデジタル署名されていたことが判明している。ただし、同社がこの不正展開に関与していたのか、あるいは把握していたのかは現時点で不明だとされる。Bitdefenderは調査の中で他社名も確認したと述べている。また同社は、ロシアのDoctor Webが2026年1月に報告したクリック詐欺マルウェア「Android.Phantom」との間で、通信インフラの一部に重複が見られることも指摘した。

感染端末の地域別分布ではメキシコが最も多く、次いでフランス、イタリア、米国、ドイツ、ブラジル、スペイン、英国、カナダ、ルーマニア、ポーランド、タイなどが続いている。約2年間の観測期間中に、世界150カ国以上で数千台の端末が影響を受けたと報告されている。