- 廉价安卓手机在出厂前即被植入固件级恶意软件
- 恶意软件通过欺诈性广告获利，并将受感染设备转化为住宅代理节点
- 全球约 150 个国家用户受影响，清除工作通常需进行固件级修复
安全研究人员 Bitdefender 近日披露，一个身份不明的威胁行为者成功渗透多家智能手机制造商的供应链，在设备发货至零售商之前，便已在固件层面植入恶意软件。这意味着消费者购买到的全新未拆封 Android 手机可能已处于被控制状态。
受影响机型包括 Doogee S200 X、Doogee Fire 3 Max 以及 Cubot KINGKONG X。上述两款品牌均来自中国，主打低成本及坚固耐用的 Android 手机市场。报告指出，部分冒充 Samsung 和 Apple 产品的被盗设备也涉及其中。这些设备普遍采用 MediaTek 芯片组，感染后允许攻击者篡改应用程序、提升权限，甚至在受害者不知情的情况下执行远程代码（RCE）攻击。
全球范围内的受害群体
据 Bitdefender 统计，受感染的设备已流向全球约 150 个国家，导致“成千上万”名用户成为受害者。目前研究人员已识别出 32 个恶意应用程序，尽管形态各异，但其核心功能一致：在不同应用之上创建隐形覆盖层，并注册虚假的广告展示与点击行为。
Bitdefender 分析指出，系统原生应用本身不会记录这些欺诈性的显示和点击数据。收入引擎主要由那些伪装成天气、应用锁、笔记和 OCR 等实用工具的下载型封面应用驱动。这些应用通过合法的广告 SDK 加载真实广告，其目标是在其他应用顶部叠加隐形窗口以欺骗广告网络。目前尚不清楚具体有多少设备通过此方式被入侵，或攻击者由此获取了多少非法收益。
Play Store 上的潜在风险与清理难度
除了预装恶意软件外，Bitdefender 还发现其中一个名为“应用程序储存器”的应用包含 TCP 代理组件。一旦成功注册，攻击者即可利用该手机转发流量，将其转变为家庭代理服务节点。此外，研究人员在 Google Play Store 上还发现了十余个具有相同欺诈性广告代码及通信基础设施的应用程序。不过，这类应用需要用户手动安装并授予特定权限，可能在一定程度上引起用户警觉。
值得注意的是，清除此类恶意软件并非简单的卸载操作。由于恶意代码嵌入固件，许多设备需要在固件层面进行修复，或者使用 Android Debug Bridge (ADB) 工具禁用恶意组件，这对普通用户而言技术门槛较高。鉴于修复难度大且成本高，最直接的规避方式是避免从声誉可疑的品牌购买设备。
