新手機上的 Android 惡意軟體：供應鏈滲透報導真正揭示了什麼

發生了什麼

國際科技媒體近日發布報導指出，某些 Android 智慧型手機在零售包裝中送達時，就已預裝了惡意軟體。相關報導來自 Nextapple News、Overclockers.ru、Menow、PhoneWorld 與 Hi-Tech Mail.ru 等地區媒體，焦點是調查人員所稱的 Midnight Mimosa 行動。這些報導共同的核心關切，是消費電子產品在購買者開機之前就已遭到入侵。 根據這些報導，下游使用者在拆封硬體後，才發現裝置上已有異常的背景活動、持續觸發的廣告軟體，以及可疑的設定描述檔。在多起案例中，技術觀察者指出，未經授權的程式碼以較高的裝置權限運作，立即引發了對消費電子產品配送網路完整性的警覺。 這些報導並非指向一般遭入侵的網站，也不是粗心使用者下載的惡意連結，而是直接聚焦於硬體供應管道。這個問題在數日內跨越數個語言地區，令行動裝置經銷商、企業設備管理人員與一般消費者對原廠封裝硬體的可靠性產生疑慮。 由於手機是通訊、金融身分驗證與個人身分紀錄的核心儲存所在，硬體層級遭竄改的報導必然引發迫切追問。核心敘事圍繞兩款特定 Android 機型，據稱其原廠出貨韌體內含未經授權的程式碼。

我們所知

現代 Android 作業系統的運作結構劃分為嚴格的邏輯分割區，用以維護安全、保持平台完整性，並將使用者資料與作業核心資產分開。在標準配置下，核心作業系統位於唯讀的 system、vendor 與 product 分割區，而使用者安裝的檔案、應用程式快取與個人設定則隔離在可寫入的 userdata 分割區。 裝置製造時，軟體堆疊在送達消費者之前會經過數個不同的企業層級。晶片供應商提供基礎的板級支援套件，由原廠設計製造商將其整合進客製化電路板佈局，並搭配第三方周邊驅動程式。接著，原廠設備製造商與地區經銷商往往會加入在地化工具應用程式、專有介面外殼與商業合作夥伴預載內容，之後才產生最終簽署的刷機映像檔。 關於 Midnight Mimosa 行動的技術報導，揭示了一套複雜的運作機制，將惡意流程分成兩個不同階段。它並非把完整的、具侵略性的廣告詐欺套件直接放進開機映像檔，而是依賴極精簡、高度隱蔽的載入器元件，藏身於早期系統配置中。這些預裝載入器被設計成在首次連網時即暗中執行。 一旦載入器與其指定的遠端指令基礎設施建立網路連線，就會請求指令，隨後取回次要酬載。這些次要元件常模仿普通工具、背景系統任務或一般消費者工具，有時偽裝成合法工具，或直接透過遭入侵的管道與 Google Play 商店頁面取得廣告詐欺模組。這種分離做法，將原廠安裝映像檔的初始鑑識足跡降到最低，同時保有遠端執行能力。

我們所不知

關於未經授權的軟體究竟在製造與物流鏈的哪個確切環節進入，仍有重大空白。目前並不知道載入器元件是在原廠設計製造商的原始碼管理階段被引入、透過遭入侵的第三方軟體開發套件整合進來，還是在地區中間商進行實體配送刷機時被注入。 全球消費電子供應鏈涉及多次交接，在地化作業系統映像檔會在這些環節被刷入裸機硬體。中間測試機構、地區物流樞紐與批發包裝供應商經常操作刷機工具，以調整語言套件、客製化地區電信業者設定檔，並安裝強制性的法規描述檔。若沒有每個中間設施的細部稽核紀錄，要找出竄改的源頭仍然困難。 此外，受影響零售單位的總數量仍未確定。公開報導並未發布完整的生產批次紀錄、地理出貨清單或序號區間，因此無法釐清問題是僅限於單一瑕疵生產批次，還是橫跨多個硬體世代的系統性配送問題。 同樣未知的是，指揮次要酬載下載的遠端命令與控制伺服器是否仍在運作，或其網域註冊與主機服務是否已被網路服務供應商扣押。若沒有對運作中裝置進行實際流量分析，從終端使用者裝置蒐集到的遙測資料全貌就無法獨立驗證。

有何說法

公開媒體與技術評論者針對這起感染的韌性與性質，流傳了幾項強烈主張。來自 Nextapple News、Overclockers.ru、Menow、PhoneWorld 與 Hi-Tech Mail.ru 的報導提出一種說法：這些裝置一出盒就已被武器化，完全不需要使用者互動，就能建立未經授權的背景持續運作。 這些報導中一項顯著主張聲稱，惡意軟體永久嵌在唯讀系統分割區內，因此能無限期挺過完整的原廠重設。按照這種解讀，零售消費者所能取得的普通補救程序——例如從裝置設定執行系統還原——完全無法清除威脅。 評論者還聲稱，這個惡意框架是專門設計來繞過 Google Play Protect 與傳統端點偵測工具，方法是把運作模組藏在合法的廠商服務套件內。在這種說法中，手機的基礎信任關係從工廠產線起就已無可挽回地受損，使實體裝置不適合用於交易運算或憑證儲存。 最後，各種報導暗示 Midnight Mimosa 行動的根本目標，是廣泛的消費者監控，同時在背景產生廣告收益。這些描述將該行動形容為一個具侵略性的變現集團，利用工廠層級的置入，確保在消費者生命週期中維持高存活率。

已查證的內容

對運作機制的嚴謹檢視顯示，相互競爭的解釋必須依據技術可行性與 Android 架構限制分別評估。惡意軟體元件是在終端使用者拆封前，於硬體供應鏈的韌體建置或配送階段被整合進系統分割區，這種解釋在技術上合理，評估為 POSSIBLE。 這類整合在有紀錄的供應鏈事件中屢見不鮮，第三方變現函式庫會被直接編譯進專有裝置管理應用程式。當廠商依賴外部承包商進行驅動程式整合或預載工具套件時，惡意或具侵略性商業意圖的程式碼很容易溜過自動化映像檔建置流程。 相反地，另一種競爭說法——即整個作用中的惡意軟體套件嚴格存在於唯讀系統分割區，且不需要初始使用者互動或外部應用程式下載，就能永久挺過原廠重設——已被 RULED_OUT。對該行動結構的技術拆解顯示，預裝韌體元件嚴格來說只是休眠載入器，而非自足、持續運作的應用程式引擎。 載入器殘留程式本身確實可能位於唯讀分割區，因而在系統清除後重新出現，但其作用中的運作元件——廣告詐欺引擎、憑證攔截器與面向使用者的模組——位於可寫入的 userdata 空間。原廠重設會清除 userdata 分割區，中斷作用中的酬載迴圈，直到休眠載入器能重新連上外部網路基礎設施、重新下載遠端配置，並再次執行安裝流程。

相互競爭的解釋

• 有可能: 惡意軟體元件是在終端使用者拆封前，於硬體供應鏈的韌體建置或配送階段被整合進系統分割區。
• 已排除: 惡意軟體存在於唯讀系統分割區，且不需要初始使用者互動或應用程式下載，就能挺過原廠重設。

什麼會改變我們的評估

要把目前的評估從未經證實改為完全驗證，需要取得直接從已驗證原廠封裝單位擷取的、經密碼學驗證的韌體映像檔。安全實驗室必須將已安裝 ROM 的數位簽章與官方廠商建置紀錄比對，以驗證這些修改是源自授權的開發金鑰，還是透過未經認證的中間刷機引入。 在潔淨室條件下記錄首次開箱開機程序的完整封包擷取，將可提供載入器啟動的可驗證證據。觀察在任何使用者輸入之前所發起的特定網域查詢、密碼學交握與二進位下載流程，將能確立內嵌軟體的自動運作性質。 此外，獨立驗證也將受益於特定應用程式套件名稱、二進位雜湊值，以及內嵌載入器二進位檔反編譯原始碼的揭露。透明的套件清單將讓國際安全分析人員得以檢視可疑程序在編譯時所獲得的確切 Android 框架權限。 最後，來自原廠設計製造商或組裝廠、追蹤實體刷機站與供應鏈物流的已驗證稽核軌跡，將可解決進入點的問題。記錄工廠工人是否使用未經授權的 USB 刷機腳本，或自動化編譯伺服器是否在上游遭入侵，將能決定性地解釋軟體如何落到消費者硬體上。