켜기 전부터 감염된 휴대폰
2026년 10월 Bitdefender 연구진은 Midnight Mimosa를 공개했습니다. MediaTek 칩 기반의 여러 브랜드 저가 Android 폰 펌웨어에 미리 설치된 악성코드입니다. 소유자가 처음 전원을 켜기 전부터 존재하며 일반적인 방법으로는 삭제할 수 없습니다.
하는 일
Bitdefender와 SecurityWeek, Android Authority, Security Affairs 보도에 따르면 플랫폼 서명 시스템 앱으로 동작하며 다음이 가능합니다.
- 앱 몰래 설치·삭제 및 권한 부여
- 광고·클릭 사기
- 기기를 봇넷의 주거용 프록시 노드로 전환
- C2 서버에서 원격으로 코드 로드
- Android Authority에 따르면 Play Protect 회피
규모와 기기
약 2년 동안 150개국 이상, 수천 대에서 발견됐습니다. 멕시코, 프랑스, 이탈리아가 상위이고 미국, 독일, 브라질, 스페인이 뒤를 잇습니다.
가장 흔한 모델은 Doogee S200 X와 Cubot KINGKONG X입니다. "S25 Ultra", "i17 Pro Max" 같은 가짜 플래그십 이름도 보였습니다. XDA 포럼에는 삭제해도 다른 이름으로 돌아오는 숨은 패키지 com.android.sys.*가 보고됐습니다.
참고: Bitdefender는 이 연구가 특정 캠페인과 생태계에 관한 것이며, 신뢰할 수 있는 제조사의 저가 폰은 여전히 안전한 선택이라고 강조합니다.
무엇이 다른가
보고서는 "사전 설치 악성코드는 다른 종류의 위협"이라고 말합니다. 설치 확인, 스토어 심사, Play Protect, 삭제 기능 등 사용자 측 방어는 모두 사용자가 설치에 관여한다고 가정하기 때문입니다. 공급망 공격입니다.
대응
개인: 삭제나 초기화로 해결되지 않습니다. 판매자에게 환불·교환을 요청하고 신뢰할 수 있는 브랜드와 매장에서 구입하세요. 비공식 펌웨어는 설치하지 마세요.
기업: 마켓플레이스 "무명" 폰이 사내 메일, 채팅, VPN에 접속하지 못하게 하고, 승인 모델 목록과 무결성 검증을 갖춘 MDM을 사용하며, 휴대폰발 비정상 프록시 트래픽을 감시하세요.
출처
- Bitdefender Labs: https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
- SecurityWeek(2026.10.9): https://www.securityweek.com/pre-baked-firmware-malware-hits-budget-android-devices-in-150-countries/
- Android Authority: https://www.androidauthority.com/midnight-mimosa-malware-android-phones-3720493/
- Security Affairs: https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html
팀을 위한 안전한 모바일 기기 정책이 필요하신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com