Tisíce levných Android telefonů mají malware už z výroby. Nelze ho smazat, je součástí systému a funguje skrytě na pozadí

Bezpečnostní firma odhalila kampaň, při níž se škodlivý kód dostává do levných telefonů ještě před prvním zapnutím, přímo ve firmwaru z výroby.

Zdroj fotografie: Pexels

Nejde o klasický virus, který si uživatel stáhne kliknutím na podezřelý odkaz. V tomto případě je malware součástí systémového softwaru telefonu. Běží s vysokými oprávněními, jako by patřil přímo k Androidu, a vystupuje pod názvem „System“. Nemá vlastní ikonu, nezobrazuje instalační dialog a uživatel nemá důvod si všimnout, že se v zařízení nachází. Běžným způsobem ho nelze odinstalovat a nepomůže ani obnovení továrního nastavení.

Výzkumníci z Bitdefender Labs ve zprávě z 8. října 2026 popisují tisíce zasažených zařízení ve více než 150 zemích. Přesný počet společnost nezveřejnila. Hovoří o „tisících unikátních zařízení“ zaznamenaných během přibližně dvouletého období. Nejvyšší zastoupení nakažených zařízení výzkumníci evidovali v Mexiku, Francii a Itálii. Další případy zaznamenali v USA, Německu, Brazílii a Španělsku.

Česko mezi výslovně jmenovanými zeměmi nefiguruje. Modely Doogee S200X a Cubot KingKong X, které se ve zprávě objevují, se však prodávají také prostřednictvím českých e-shopů a cenových srovnávačů. Samotná dostupnost těchto telefonů na českém trhu ovšem neznamená, že jsou nakažené všechny prodané kusy.

Co přesně Bitdefender našel a proč to nejde smazat

Základem problému je škodlivý kód zabudovaný do systémového softwaru telefonu. Podle analýzy Bitdefenderu je příslušná komponenta podepsaná platformovým klíčem a běží pod systémovou identitou android.uid.system. Díky tomu má přístup k oprávněním, která běžné aplikace nemají. Může například bez vědomí uživatele instalovat a odebírat další aplikace nebo jim udělovat oprávnění.

Zvlášť závažná je schopnost dočasně deaktivovat obchod Google Play příkazem pm disable com.android.vending. Tím může malware omezit ochranu, kterou za běžných okolností poskytuje Google Play Protect, a provést skrytou instalaci dalších aplikací. Po dokončení může obchod znovu aktivovat.

Bitdefender identifikoval několik konkrétních systémových balíčků: com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot a com.android.sys.bcprot.

Mezi značkovými modely, které se v analyzovaných datech objevovaly nejčastěji, byly Doogee S200X a Cubot KingKong X. Oba využívají čipset MediaTek Dimensity 7050, což odpovídá zjištění, že se kampaň často týká zařízení s hardwarem od MediaTeku. Samotný použitý čipset však není důkazem infekce.

V datech se objevila také různá označení firmwaru, například J10_EEA, A9_EEA, T13_EEA a Q6_EEA. Výzkumníci zaznamenali i falešná modelová označení S25 Ultra, S24 Ultra nebo S26 Ultra. Takové názvy mohou vzbuzovat dojem, že jde o prémiové telefony Samsung, ve skutečnosti však mohou označovat zařízení jiného výrobce s podstatně odlišným hardwarem.

Proč nepomůže obnovení továrního nastavení? To zpravidla smaže uživatelská data a nastavení, nikoli samotný systémový obraz, ze kterého se Android spouští. Pokud je malware přímo jeho součástí, může po resetu zůstat v telefonu a znovu se aktivovat.

Jak malware pracuje na pozadí a co s telefonem dělá

Po zapnutí telefonu se skrytá systémová komponenta označovaná jako „System“ spojí se vzdáleným řídicím serverem a může stahovat další moduly. Ty následně instalují další aplikace. Bitdefender identifikoval například balíčky com.mobile.applock.en, picturetranslate.extractor.text.lite a com.dmstudio.weather.

Infikovaná zařízení mohou být využívána k podvodným reklamním aktivitám, například k vytváření falešných zobrazení reklam a kliknutí. Malware může také zobrazovat reklamy přes celou obrazovku a v některých případech zapojit telefon do rezidenční proxy sítě. V takové síti je internetové připojení zařízení využíváno k přesměrovávání provozu dalších uživatelů. Telefon se tím může stát součástí botnetu, tedy sítě zařízení ovládaných na dálku.

Znepokojivé jsou také další funkce, které podle Bitdefenderu malware technicky podporuje, přestože výzkumníci v analyzovaných vzorcích nedoložili jejich aktivní zneužití. Patří mezi ně přístup k oznámením, čtení a zápis SMS nebo využití služby Accessibility, která aplikacím se zvláštními oprávněními umožňuje pracovat s obsahem obrazovky a ovládat některé funkce telefonu.

Tyto možnosti by při zneužití mohly útočníkům pomoci získávat citlivé informace. Přístup k oznámením například může odhalit jednorázové ověřovací kódy, zatímco zneužití služby Accessibility může umožnit sledovat obsah obrazovky nebo manipulovat s některými prvky aplikací. Bitdefender však rozlišuje mezi tím, co malware technicky dokáže, a tím, co se podařilo prokazatelně zaznamenat při jeho analýze.

Společnost navíc odhalila další větev kampaně: 13 aplikací distribuovaných prostřednictvím Google Play, které podle její analýzy vykazovaly stejné identifikační znaky jako komponenty nalezené v infikovaných telefonech. To ukazuje, že riziko nemusí být omezené pouze na aplikace instalované z neznámých zdrojů.

Jak se malware dostal do telefonů a proč nejde jen o cenu

Klíčovým problémem není samotná nízká cena telefonu, ale nedostatečně kontrolovaný dodavatelský řetězec. Bitdefender popisuje několik míst, kde mohl být škodlivý kód do firmwaru zaveden: například u výrobce zařízení navrhujícího a vyrábějícího hardware pro jinou značku, při sestavování firmwaru nebo v některé další fázi distribuce.

Jedna ze stop v analyzovaném kódu podle výzkumníků ukazuje na společnost Shenzhen Zediel. Taková technická souvislost ale sama o sobě nedokazuje, že firma o škodlivém kódu věděla nebo se na jeho šíření vědomě podílela.

Nízká cena tedy automaticky neznamená, že je telefon nebezpečný. Riziko spočívá spíše v tom, že značka uvedená na krabici nemusí být totožná se společností, která zařízení skutečně vyrobila, sestavila jeho firmware nebo zajistila jeho distribuci. Na vývoji a výrobě jednoho telefonu se může podílet několik různých firem. Pokud nejsou jednotlivé fáze dostatečně kontrolované, může se škodlivý software dostat do zařízení ještě předtím, než se dostane k zákazníkovi.

Ani známá značka však sama o sobě není zárukou absolutní bezpečnosti. Důležitá je především kontrola dodavatelů, zabezpečení procesu výroby a pravidelné aktualizace softwaru.

Pro české zákazníky je podstatné, že Doogee S200X i Cubot King Kong X jsou dostupné prostřednictvím nabídek českých prodejců na Heurece. To neznamená, že je každý prodaný kus infikovaný. Znamená to však, že modely spojované s touto kampaní lze pořídit i na českém trhu, a proto má smysl věnovat pozornost původu zařízení a jeho softwaru.

Co dělat, když máte podezření

Pokud vlastníte některý z uvedených modelů nebo telefon s neobvyklým „vlajkovým“ označením od málo známého výrobce, můžete provést několik základních kontrol:

• Zkontrolujte systémové aplikace – v nastavení telefonu zobrazte všechny aplikace včetně systémových a zaměřte se na balíčky com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot a com.android.sys.bcprot. Pozornost si zaslouží také neobvyklá položka „System“ bez ikony. Samotný název však infekci nepotvrzuje, protože podobně se mohou jmenovat i legitimní systémové komponenty.
• Sledujte neobvyklé chování – varovným signálem mohou být reklamy zobrazované přes jiné aplikace, programy, které se instalují bez vašeho vědomí, nezvykle vysoká spotřeba mobilních dat, rychlé vybíjení baterie nebo přehřívání. Žádný z těchto příznaků však sám o sobě nedokazuje přítomnost malwaru.
• Spusťte kontrolu pomocí Play Protect – v aplikaci Google Play otevřete sekci Play Protect a spusťte kontrolu zařízení. Prověřte také certifikaci zařízení v obchodě Google Play. Čistý výsledek ovšem nevylučuje infekci, zejména pokud je malware součástí systémového softwaru.
• Omezte používání citlivých služeb – pokud máte důvodné podezření na kompromitaci telefonu, nepoužívejte ho do vyřešení problému pro bankovnictví, přihlašování k důležitým účtům ani pracovní komunikaci. Z bezpečného zařízení změňte důležitá hesla a zkontrolujte aktivní přihlášení k účtům.
• Kontaktujte prodejce nebo výrobce – běžné obnovení továrního nastavení nemusí stačit. Požádejte o ověření firmwaru a informujte se o možnosti výměny nebo vrácení zařízení. Oficiální stránky podpory nabízejí například Doogee a Cubot. Před instalací firmwaru si ověřte, že je určený přesně pro váš model a jeho konkrétní variantu. Dostupnost oficiálního firmwaru sama o sobě neznamená, že odstraňuje právě tento malware.

Větší problém než jeden virus

Případ Midnight Mimosa upozorňuje na problém, který přesahuje konkrétní malware a několik podezřelých balíčků. Pokud je škodlivý kód součástí systémového softwaru a běží s vysokými oprávněními, může mít nad zařízením výrazně větší kontrolu, než jakou by získal prostřednictvím běžné aplikace. Uživatel přitom nemusí mít jednoduchou možnost, jak se ho zbavit.

Právě proto nemusí stačit ani antivirus nainstalovaný dodatečně. Bezpečnostní aplikace může některé hrozby odhalit, ale nedokáže zaručit odstranění malwaru zabudovaného přímo do systémového obrazu. V takové situaci je důležité ověřit původ firmwaru, získat důvěryhodnou aktualizaci od výrobce, případně zařízení reklamovat nebo přestat používat.

Nejdůležitější poučení je jednoduché: bezpečnost telefonu nezávisí jen na aplikacích, které si do něj uživatel nainstaluje. Záleží také na tom, jak vznikl jeho systémový software, kdo ho připravil a zda lze jeho důvěryhodnost ověřit.