低价安卓手机被曝预装“Midnight Mimosa”恶意固件：可变身住宅代理节点
据 BleepingComputer 于 2026 年 10 月 9 日报道，一起被称为 “Midnight Mimosa” 的恶意软件活动被发现出现在部分低成本 Android 智能手机上。来源显示，这些设备在出厂时的固件中已嵌入恶意组件，攻击者可在用户不知情的情况下静默安装应用、实施广告欺诈，并将手机纳入住宅代理网络。对普通用户而言，这类风险的特殊之处在于：问题并非来自用户主动下载了可疑应用，而是可能从设备启用之初就已存在。
从隐私与网络安全角度看，预装在固件层面的恶意软件比普通应用更难被察觉和清除。它可能拥有更高权限，能够绕过常规卸载流程，也可能在恢复出厂设置后继续存在。对于依赖低价安卓机作为备用机、家庭设备或跨境上网终端的用户来说，这类事件提醒我们：设备来源、系统完整性和网络行为异常，都是需要被纳入隐私保护评估的因素。
恶意固件为何危险：不只是“多了一个可疑应用”
来源摘要显示，Midnight Mimosa 的核心能力包括静默安装应用、广告欺诈，以及把设备转化为住宅代理。所谓住宅代理，通常指借助真实家庭或移动网络 IP 转发流量，使外部请求看起来像来自普通用户设备。一旦手机被控制为这类节点，用户可能并不知道自己的网络连接正在被他人利用。
这会带来多重隐患。首先，设备性能和电量可能异常消耗，后台流量增加；其次，用户的 IP 地址可能被用于批量注册、爬取、刷量或规避风控等行为；再次，如果相关活动触发平台或网络服务的安全规则，受影响的可能是设备持有者的网络信誉。更关键的是，固件级预装意味着普通杀毒扫描或手动卸载未必足以解决问题。
- 静默安装应用：用户未明确授权时，设备可能被远程下发更多组件。
- 广告欺诈：通过虚假展示、点击或流量制造收益，消耗用户资源。
- 住宅代理化：手机网络连接可能被第三方借用，掩盖真实来源。
- 清理难度较高：若恶意代码嵌入系统固件，恢复出厂设置不一定有效。
对 VPN 用户的影响：加密连接并不能修复被污染的终端
很多用户会把 VPN 视为保护隐私的第一道工具，它确实可以在公共网络中降低明文传输和网络侧窥探风险。但这起事件说明，如果终端设备本身已经被植入恶意固件，VPN 并不能替代设备安全检查。原因很简单：VPN 主要保护网络传输路径，而恶意固件运行在设备内部，可能在数据进入加密隧道之前就已经观察或操控部分行为。
因此，对 VPN 用户来说，更合理的做法是把 VPN 当作隐私防护体系的一部分，而不是唯一防线。用户在选择低价安卓设备时，应特别关注销售渠道、系统更新能力、是否存在无法卸载的异常应用、后台流量是否异常，以及设备是否频繁弹出未知安装请求。若发现设备长期耗电、发热、流量激增或出现来源不明的应用，应尽快断开敏感账号登录，并考虑更换可信设备。
普通用户如何降低风险
针对这类固件预装风险，用户无法仅靠“谨慎点击链接”完全规避，但仍可以通过一些习惯降低暴露面。尤其是将手机用于网银、工作账号、加密钱包、社交账号管理或长期 VPN 连接时，更应提高设备准入标准。
- 尽量从正规渠道购买设备，避免来源不明、价格明显异常的机型。
- 首次开机后检查系统应用、设备管理权限和未知来源安装权限。
- 关注后台流量、电量和发热情况，异常时及时排查。
- 避免在可疑设备上登录高价值账号或保存敏感文件。
- 优先使用能够持续获得系统安全更新的设备。
对于需要在公共 Wi-Fi、跨境办公或多网络环境中保护连接隐私的用户，可以选择可信的 VPN 工具作为传输层保护，例如 RedGate VPN 这类可选方案；但同时应记住，网络加密无法替代干净可信的终端。Midnight Mimosa 事件的启示在于，隐私安全不只发生在浏览器或应用层，硬件供应链与系统固件同样可能成为攻击入口。