電源を入れる前から感染している
2026年10月、Bitdefender の研究者は Midnight Mimosa を公表しました。MediaTek チップを使った複数ブランドの格安 Android 端末の ファームウェアにあらかじめ組み込まれた マルウェアです。持ち主が 初めて電源を入れる前から 端末に存在し、通常の方法では アンインストールできません。
何をするのか
Bitdefender および SecurityWeek、Android Authority、Security Affairs の報道によると、Midnight Mimosa は プラットフォーム署名付きのシステムアプリ として動作し、次のことができます。
- アプリを無断でインストール・削除 し、権限を付与する
- 広告・クリック詐欺 を行う
- 端末をボットネットの 住宅用プロキシのノード にする
- C2 サーバーから コードを遠隔で読み込む
- Android Authority によれば Play Protect を回避 する
規模と端末
約 2年間 で、150か国以上の数千台 で確認されました。メキシコ、フランス、イタリア が上位で、米国、ドイツ、ブラジル、スペインが続きます。
多い機種は Doogee S200 X と Cubot KINGKONG X。「S25 Ultra」「i17 Pro Max」など 高級機を装った偽の名前 も見られました。XDA フォーラムでは、削除しても別名で戻る隠しパッケージ com.android.sys.* が報告されています。
注:Bitdefender は、これは特定のキャンペーンとエコシステムに関する調査であり、信頼できるメーカーの低価格端末は引き続き安全な選択肢だと強調しています。
何が違うのか
報告書は「プリインストール型マルウェアは別種の脅威」と述べます。インストール確認、ストア審査、Play Protect、アンインストールといった利用者向けの防御はすべて、利用者がインストールに関与することを前提にしています。ここではどれも機能しません。サプライチェーン攻撃 です。
対策
個人: アンインストールや初期化では 直りません。販売者に 返金・交換 を求め、信頼できるブランドと販売店で購入しましょう。非公式ファームウェアは入れない こと。
企業: マーケットプレイスの「ノーブランド」端末を社内メール、チャット、VPN に接続させない。承認機種リストと端末の完全性確認を備えた MDM を使う。社内ネットワークでスマホからの異常なプロキシ通信を監視する。
出典
- Bitdefender Labs:https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
- SecurityWeek(2026年10月9日):https://www.securityweek.com/pre-baked-firmware-malware-hits-budget-android-devices-in-150-countries/
- Android Authority:https://www.androidauthority.com/midnight-mimosa-malware-android-phones-3720493/
- Security Affairs:https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html
社員のモバイル端末を安全に管理したいですか?KGA IT は無料相談を受け付けています:kga-it.com