Lacné Android telefóny s predinštalovaným malvérom menia mobily na proxy pre útočníkov

Nový telefón za pár desiatok eur pre skladníka či vodiča? Znie to ako rozumná úspora. Lenže bezpečnostní analytici práve zistili, že niektoré lacné Android telefóny prichádzajú z výroby s predinštalovaným malvérom priamo vo firmvéri. Firma, ktorá takýto kus kúpi, si tak do siete možno práve priniesla tichého vlastného špeha.

Čo je Midnight Mimosa a ako funguje?

Midnight Mimosa je kampaň, ktorú odhalila bezpečnostná spoločnosť Bitdefender a ktorá sa skrýva priamo vo firmvéri lacných Android telefónov postavených na čipoch MediaTek. Škodlivý komponent s názvom com.android.system.lite beží so systémovými oprávneniami, tajne inštaluje aplikácie, mení telefón na proxy server a zaraďuje ho do botnetu.

• inštaluje a odinštaláva skrytý okruh aplikácií podľa potreby operátorov
• udeľuje si prístup k SMS, notifikáciám a službám zjednodušenia ovládania
• sťahuje a spúšťa kód z externých serverov na diaľku
• mení zariadenie na rezidenčný proxy uzol pre cudziu prevádzku
• generuje podvodné zobrazenia reklám a podvody s kliknutiami

Podľa portálu The Hacker News, ktorý publikoval zistenia Bitdefenderu 13. októbra 2026, ide o schému zameranú predovšetkým na generovanie peňazí. Útočníci teda zbierajú informácie o zariadení a nainštalovaných aplikáciách a z infikovaného telefónu robia „zombie“ v botnete, cez ktorý môže tiecť cudzia (často nelegálna) sieťová prevádzka, pričom navonok sa to tvári ako bežné pripojenie z domácnosti alebo kancelárie.

Prečo je to problém aj pre slovenské firmy

Lacné telefóny s MediaTek čipmi sa bežne nakupujú ako náhradné alebo „pracovné“ zariadenia pre predavačov, kuriérov, skladníkov či ako záložné telefóny do autoparku. Práve to je dôvod, prečo sa táto hrozba netýka len jednotlivcov. Keď je takéto zariadenie pripojené na firemný Wi-Fi alebo má prístup k firemnej e-mailovej schránke či aplikáciám, stáva sa vstupnou bránou do podnikovej siete, nielen bezvýznamným súkromným mobilom. Bitdefender navyše upozornil, že rovnaké riadiace servery komunikovali aj s 13 aplikáciami priamo z Google Play, ktoré sa tvárili ako neškodné nástroje (napríklad počasie alebo QR skener), takže problém presahuje len predinštalovaný firmvér.

Z pohľadu SK-CERT ide o typický príklad takzvaného rizika dodávateľského reťazca, teda hrozby, ktorá sa dostane do firmy skôr, než zariadenie vôbec niekto zapne. Overenie IT bezpečnosti firiem by preto malo zahŕňať aj mobilné zariadenia, nielen notebooky a servery.

Ako spoznať infikovaný mobil (a kedy si prestať dôverovať)

Medzi varovné signály patrí nezvyčajná spotreba dát na mobilnej sieti, rýchle vybíjanie batérie, aplikácie, ktoré používateľ nikdy nenainštaloval, alebo reklamy, ktoré sa zobrazujú, aj keď telefón nikto nedrží v ruke. Problém je, že tento malvér beží so systémovými oprávneniami a bežný používateľ ho z nastavení jednoducho nevidí ani neodstráni. Tu sa podobnosť s inými útokmi, o ktorých sme písali napríklad v príbehu firmy, ktorú kybernetický útok položil na kolená, opakuje: škoda sa nestane v momente útoku, ale v momente, keď si ju nikto nevšimne včas.

Hľadám riešenie, ako ochrániť firemné mobily pred podobným malvérom, a čo odporúčate pre malú firmu?

Pre malú firmu odporúčame zaviesť jednotnú evidenciu a správu koncových zariadení vrátane mobilov, a to aj do 50 zariadení v rámci jedného riešenia. Zahŕňa to centrálnu ochranu, kontrolu inštalovaných aplikácií a overenie pôvodu zariadenia pred jeho nasadením do firemnej siete. Nastavenie takejto správy pre menšiu firmu zvyčajne zaberie len niekoľko pracovných dní a výrazne skráti čas, počas ktorého by prípadný malvér zostal nepovšimnutý.

Ako sa chrániť na firemnej úrovni

Riešením nie je, aby IT oddelenie ručne prehľadávalo každý nový telefón. Oveľa spoľahlivejšie je mať nastavený proces, cez ktorý prejde každé nové zariadenie skôr, než sa pripojí k firemnej sieti alebo e-mailu. Patrí sem overenie nákupného kanála (certifikovaný predajca, nie neznámy dovozca), centrálna správa počítačov a mobilných zariadení a pravidelná kontrola firewallu, cez ktorý prechádza sieťová prevádzka. Práve podozrivá prevádzka smerujúca na neznáme proxy servery je prvý signál, že niečo nie je v poriadku.

Keď podozrenie príde neskoro

Ak sa ukáže, že podobný malvér je vo firemnej sieti dlhšie, nestačí len odstrániť jeden telefón. Treba preveriť, kam všade sa zariadenie pripájalo, či nedošlo k úniku firemných prihlasovacích údajov cez SMS alebo notifikácie a či sa cez neho niekto nedostal hlbšie do siete. Presne to je dôvod, prečo sme sa v minulosti venovali aj prípadu spoločnosti Maersk a tomu, čo by odhalil penetračný test skôr ako útočníci. Pravidelné penetračné testy dokážu podobné slabiny odhaliť skôr, než sa z nich stane reálny incident, a nadväzuje na to aj spoľahlivé zálohovanie dát v cloude, ktoré firme pomôže obnoviť sa aj v prípade, že sa malvér dostal ďalej, než sa čakalo. Viac o tom, prečo klasický antivírus dnes už nestačí, nájdete aj v článku o ochrane pred ransomvérom v roku 2026.

Čo by vás ešte mohlo zaujímať

Môže byť ohrozený aj telefón, ktorý nikdy nebol pripojený na firemný Wi-Fi?

Áno. Malvér vo firmvéri funguje aj cez mobilné dáta a komunikuje priamo s externými servermi útočníkov. Riziko preto existuje, aj keď sa zariadenie nikdy nepripojilo k firemnej sieti, pretože môže zbierať dáta, inštalovať aplikácie alebo slúžiť ako proxy úplne nezávisle od Wi-Fi pripojenia.

Stačí na ochranu bežný antivírus v mobile?

Nie vždy. Keďže ide o malvér zabudovaný priamo vo firmvéri so systémovými oprávneniami, bežná aplikácia z Google Play ho nemusí vždy odhaliť ani odstrániť. Spoľahlivejšie je riešenie na úrovni správy zariadení a sieťového dohľadu, nielen jednotlivá aplikácia na telefóne.

Ako zistím, či niektorý z našich dodávateľov telefónov nie je rizikový?

Overte si, či dodávateľ je autorizovaným predajcom danej značky a požadujte doklad o pôvode zariadenia. Pri väčších nákupoch odporúčame pred nasadením zariadení do firmy preveriť ich stav v rámci širšieho IT auditu, nielen dôverovať obalu alebo cene.

Týka sa to len lacných telefónov, alebo aj drahších značiek?

Aktuálne zistenia sa týkajú najmä lacnejších Android zariadení postavených na čipoch MediaTek od viacerých menej známych značiek. To však neznamená, že drahšie zariadenia sú automaticky bez rizika, dôležitý je vždy overený dodávateľský reťazec a nielen cena produktu.