Olcsó Android-telefonok gyárilag kártevővel – így ellenőrizd a sajátodat

Mit találtak pontosan

A Bitdefender Labs 2026. október 8-án tette közzé az elemzést – másnap frissítették –, Adrian Mihai Gozob és Alex Baciu neve alatt. A kampány neve Midnight Mimosa, és a kutatók megfogalmazása szerint olcsó, több márka neve alatt futó, MediaTek-alapú Android-készülékeken fut.

A számok a jelentés szerint: a kutatók nagyjából kétéves időszakon át, több mint 150 országban, több ezer különböző készüléken figyelték meg a kártevőcsaládot. A földrajzi megoszlást Mexikó, Franciaország és Olaszország vezeti, utánuk az Egyesült Államok, Németország, Brazília és Spanyolország következik – a jelentés viszont hozzáteszi, hogy egyetlen ország sem uralja a listát.

Fontos, hogy ezek megfigyelt fertőzések, nem egy teljes, lezárt leltár. A kutatók sehol nem adnak pontos darabszámot, a diagramjuk pedig a megfigyelt készülékek országonkénti megoszlását mutatja. Ebből nem lehet arra következtetni, hogy a támadók hol céloztak: a kép inkább azt tükrözi, hogyan terjed a nemzetközi piactereken keresztül értékesített hardver. Magyarország nincs külön nevesítve, és a jelentésből nem is lehet megmondani, hány ilyen készülék van itthon. Annyi viszont látszik, hogy az élmezőny négy tagja európai ország, és hogy az ilyen, nemzetközi piactereken értékesített olcsó készülékek nálunk is könnyen elérhetők.

Miért más ez, mint egy letöltött vírus

Eddig minden, amiről ebben a témában írtunk – a hamis telepítők, a hamis letöltőoldalak – arról szólt, hogy a felhasználó tölt le valamit, amit nem kellett volna. Itt nincs ilyen pillanat. A kártevő már a dobozban ott van.

A fertőzés egy rendszeralkalmazással kezdődik, amelynek a csomagneve com.android.system.lite. A telefonon egyszerűen csak „System” néven fut, ikonja pedig nincs – a jelentés szerint láthatatlan az alkalmazásindítóban, és megkülönböztethetetlen egy valódi rendszerkomponenstől. Egyetlen csomagnévre keresve egyébként sem lehet kizárni semmit: a kutatók ugyanezt a magot több, rendszernek hangzó néven is megtalálták, például com.android.sys.prot, com.android.sys.gmsprot és com.android.sys.bcprot néven, más fordításban és más aláíró tanúsítvánnyal. Ez a program a telefon gyári szoftverének a része, platformkulccsal aláírva – vagyis olyan kulccsal, amitől a rendszer a sajátjaként kezeli –, és rendszerjogosultsággal fut. Azt, hogy ez a kulcs kinél volt, és a gyártási lánc melyik pontján került a kód a telefonokba, a kutatók szerint nem lehet megállapítani: a tanúsítvány tulajdonosa és a kártevő beépítése között több közvetítő is lehet. Öt engedélye önmagában mindent megmagyaráz:

• Alkalmazások telepítése – kérdezés nélkül.

• Alkalmazások törlése – szintén kérdezés nélkül.

• Futásidejű engedélyek megadása – vagyis a frissen telepített appnak magától megadhatja azt, amit tőled kérdezne meg.

• Védett rendszerbeállítások írása.

• Fájlrendszerek csatolása és leválasztása.

És a lényeg, a jelentés megfogalmazása szerint: ez a komponens nem távolítható el. Nem egy app, amit letörölsz. A rendszerpartíción ül, ott, ahol a telefon operációs rendszere.

Mit csinál a telefonon

A működés rétegezett, de a logikája egyszerű. A rendszeralkalmazás egy libeasy.so nevű könyvtárat használ, amely egy beágyazott, titkosított csomagot fejt vissza, majd betölt egy rejtett keretrendszert – ez már a rendszerfolyamaton belül fut. A keretrendszer felveszi a kapcsolatot egy távoli kiszolgálóval, és onnan kapja meg, hogy mit töltsön le és futtasson.

A letöltött modulok három dolgot csinálnak:

Reklámcsalás. Ez hozza a pénzt. A modul rejtett ablakokban és automatikus kattintásokkal hamis reklámmegjelenéseket, kattintásokat és konverziókat gyárt. Ehhez kellenek a „fedőalkalmazások”: időjárás-appok, alkalmazászárolók, szövegfelismerő és jegyzetelő programok, amelyekben valódi reklámkiszolgáló kód fut – így a hirdetési hálózat fizet a hamis forgalomért. A kutatók legalább 32 különböző álcázott alkalmazást kötöttek ehhez az ökoszisztémához.

Csendes telepítés. A rendszerkomponens kérdés nélkül telepíti ezeket, és az engedélyeket is magától megadja nekik.

Proxy. Egyes modulok a telefont átjáróvá alakítják: regisztrálják az eszközt, és kétirányú kapcsolatot nyitnak rajta. Vagyis idegenek forgalma mehet a te netkapcsolatodon keresztül – a jelentés szerint a készülék tetszőleges kiszolgálókat elérhet, a helyi hálózatot is beleértve.

Van még egy nyugtalanító részlet – ez viszont már nem a letöltött modulokról szól, hanem magáról a rendszerkomponensről –, és a kutatók maguk is óvatosan fogalmaznak róla. A rendszerkomponens rendelkezik a kisegítő lehetőségekhez, az értesítésekhez és az SMS-ekhez tartozó jogosultságokkal, és a kisegítő lehetőségeket, valamint az értesítéshozzáférést magától be is kapcsolja. Hogy ezt mire használták, arról viszont a jelentés azt írja, hogy a vizsgálat során egyiket sem látták használatban. Vagyis a képesség megvan, a visszaélésre nincs bizonyíték.

A trükk, amitől a Google védelme sem lát semmit

Ez a cikk legérdekesebb részlete. A jelentés szerint a Google Play Áruház alkalmazás nemcsak bolt: ez futtatja a telefonon a Play Protect vizsgálatát, amely a frissen telepített appokat nézi át.

A kártevő pontosan tudja ezt. A jelentés szerint közvetlenül a telepítés előtt letiltja a Play Áruház alkalmazást, utána pedig visszakapcsolja – sikeres és sikertelen telepítés után egyaránt. Sőt, van egy beépített óvintézkedése is: ha a felhasználó épp használja a telefont, visszakapcsolja az áruházat, nehogy feltűnjön valami.

A kutatók szóhasználata itt mértéktartó: szerintük ez valószínűleg a Play Protect észlelésének elkerülésére szolgál. A következtetésük viszont már élesebb: a telepítés abban az ablakban történik, amikor a Google vizsgálója ki van kapcsolva.

Érdemes egy pillanatra megállni ennél. Nem arról van szó, hogy a kártevő kijátszotta a védelmet – egyszerűen kikapcsolta, mert rendszerjogosultsága volt hozzá. Ez a különbség aközött, hogy valaki bemászik az ablakon, és aközött, hogy kulcsa van a bejárati ajtóhoz.

Milyen készülékeken találták meg

Itt kell a legpontosabbnak lenni, mert könnyű félreolvasni. A jelentés a készülékek által jelentett típusazonosítókat sorolja fel, és külön figyelmeztet, hogy ez a mező inkább hamisítási jelzés, mint valódi készülékleltár. Négy csoport rajzolódik ki:

• Névtelen, régiókódos gyári szoftverek: J10_EEA, A9_EEA, T13_EEA, Q6_EEA – ezek fehércímkés telefonok: egy gyár készíti őket, és többféle márkanév alatt adják el.

• Alaplapi azonosítók: például k62v1_64_bsp, ami egy MediaTek MT6762-es lapka.

• Hamisított csúcstelefon-nevek: S25 Ultra, S24 Ultra, S26 Ultra, i17 Pro Max, Note 18 Ultra. Ezek nem a valódi készülékek nevei – a jelentés szerint például az SM-S938B, amely papíron a Galaxy S25 Ultra azonosítója, olyan telefonokon jelenik meg, amelyek nem Samsungok.

• Két valódi, megnevezett márkanév. A jelentés szerint a két legnagyobb darabszámú típusnév az S200 X, amit a Doogee-hoz, és a KINGKONG X, amit a Cubothoz kötnek.

Ennél a két márkánál álljunk meg, mert ez az a pont, ahol a legkönnyebb igazságtalannak lenni. A Bitdefender jogi kitétele rögzíti, hogy a márkák megnevezése kizárólag technikai megfigyelést tükröz, és nem jelenti azt, hogy az érintett felek írták, terjesztették vagy tudatosan segítették a kártevő terjedését. Ugyanez igaz a firmware aláírásához használt tanúsítványokra: ezeken egy shenzheni cég neve szerepel, de hogy ezek hogyan kerültek a telefonokra, és hogy a tanúsítvány tulajdonosa tudott-e bármiről, a kutatók szerint tisztázatlan.

És egy mondat, amit nem szabad kihagyni: a jelentés szerint számtalan további telefon létezik, amelyeken nincs ilyen aláírású gyári szoftver, és mégis ugyanaz a kártevő van rajta. Vagyis a márkanevek alapján nem lehet biztonsági listát csinálni.

Tizenhárom alkalmazás a Google Play-re is felkerült

A firmware-be épített komponens mellett a kutatók tizenhárom alkalmazást találtak magán a Google Play-en, amelyek ugyanazokat a reklámcsalásra utaló jegyeket hordozták, és ugyanazzal a háttérrendszerrel kommunikáltak. Ezek valódi Play-es csomagok voltak, legalább két fejlesztői fiók alatt, és átmentek a Play ellenőrzésén.

Jó hír, hogy ezeknek nem volt rendszerszintű jogosultságuk – hétköznapi alkalmazások, amelyeket le lehet törölni. A kategóriák vegyesek: három időjárás-app, két hangszerkesztő, egy ikoncsomag, egy QR-olvasó, egy üzenet-visszaállító, egy alkalmazászár, egy szövegkinyerő, egy jegyzetelő, egy zenei app és egy általános eszköztár. A közös nevező nem a kategória, hanem a bennük futó reklámcsalás-kód és a közös háttérkiszolgáló.

Néhány csomagnév a listáról: com.prorestore.qr, com.dl.guard.lock, com.go.weather.mot, com.cool.weather.yl, com.notemaster.record.mark, picturetranslate.extractor.text.lite. A teljes felsorolás a Bitdefender jelentésében megtalálható – ha ilyesmit telepítettél ismeretlen fejlesztőtől, érdemes ott összevetni.

Így nézd meg a saját telefonodat

Előrebocsátjuk: tökéletes otthoni teszt nincs. De van három dolog, amit érdemes megnézni, és mindhárom elvégezhető két perc alatt.

1. A Play Protect-tanúsítvány

Ez a leggyorsabb szűrő. Nyisd meg a Google Play Áruház alkalmazást, koppints a jobb felső sarokban a profilikonra, majd a Beállítások, azon belül a Névjegy pontra. Itt írja ki, hogy az eszköz rendelkezik-e Play Protect-tanúsítvánnyal.

És most jön a rész, ahol pontosnak kell lenni, mert a Google két oldala két különböző dolgot hangsúlyoz. A tanúsítást bemutató oldal szerint a folyamatban biztonsági vizsgálat is van: több száz teszt néz rá az Android biztonsági és jogosultsági modelljére, és a tanúsított készülékeknek előre telepített kártevő nélkül kell kikerülniük a gyárból. A Play súgóoldala viszont, ahol az állapotot ellenőrzöd, ennél szűkebben fogalmaz: a tanúsított eszközökön a Google saját, licencelt alkalmazásai futnak, és a készülék megfelelt az Android-kompatibilitási teszten.

A gyakorlati tanulság ebből nem az, hogy a tanúsítvány értéktelen – hanem hogy nem folyamatos felügyelet. Egy beküldött gyári szoftverre vonatkozó, egyszeri megfelelésről van szó, nem arról, hogy valaki ellenőrizte volna, pontosan milyen szoftver fut a hozzád eljutó konkrét telefonon. A Google ráadásul külön kimondja, hogy az eszköztanúsítás elkülönül a Play Protect szolgáltatástól.

Ettől még érdemes megnézni: ha a telefonod nem tanúsított, a Google szerint előfordulhat, hogy nem biztonságos, nem kap rendszer- és alkalmazásfrissítéseket, és a rajta lévő Google-alkalmazások nem licenceltek, vagyis nem valódiak. A tanúsítás hiányának több oka is lehet – egy saját rendszert futtató készülék sem tanúsított –, de egy névtelen, olcsó telefonnál a többi jellel együtt ez már komoly érv a csere mellett.

2. A telepített alkalmazások

Nézd át, milyen időjárás-, alkalmazászár-, szövegfelismerő és jegyzetelő appok vannak a telefonon, és hogy emlékszel-e rá, mikor telepítetted őket. Ha olyat találsz, amit nem te raktál fel, az gyanúra ok – bizonyíték nem. Olcsó telefonokon az előre telepített, feleslegesnek tűnő alkalmazás teljesen megszokott.

Egy dolgot viszont tudj: a jelentésben leírt rendszerkomponens ezen a listán nem fog kiszúrni. Ikonja nincs, a neve pedig egyszerűen „System”. Amit itt kereshetsz, az a letöltött fedőalkalmazás, nem a gyökér.

3. A viselkedés

A reklámcsalás nem feltétlenül látszik, mert rejtett ablakokban zajlik. Három dolog mégis árulkodó lehet: feltűnően gyorsan fogy az akkumulátor akkor is, ha nem nyúlsz a telefonhoz; magas a háttér-adatforgalom olyan appoknál, amiknek nem kellene netezniük; és maguktól megjelennek alkalmazások. Ezek egyike sem bizonyíték – a számítógépes megfelelőikről a vírusjelekről szóló cikkünkben írtunk részletesen –, de együtt már érdemes utánanézni.

Egy mobilos biztonsági alkalmazás is segíthet: ezt az egész kampányt is egy ilyen program jelzése hozta elő, az indította el a kutatást.

Ha kiderül, hogy érintett: a kellemetlen igazság

Itt nem tudunk jó hírt adni, és nem is teszünk úgy, mintha tudnánk. A jelentés erről szóló része meglepően egyértelmű: a megoldás nem lehet az eltávolítás. Mivel a központi komponens a rendszerpartíción érkezik, a tulajdonos a szokásos úton nem tudja letörölni. A takarításhoz a gyári szoftver szintjén kellene beavatkozni, vagy fejlesztői eszközzel letiltani a komponenst – és a kutatók hozzáteszik, hogy egyik sem reális a legtöbb ember számára, aki ilyen telefont használ. A tartós megoldás szerintük a gyártókon és a piactereken múlik, nem a vásárlón.

Ebből két gyakorlati következtetés adódik:

1. A gyári visszaállítás nem segít. Ez a művelet a felhasználói adatokat törli, a rendszerpartíciót viszont nem – a kártevő pedig pont ott van. A letöltött fedőalkalmazások eltűnnek, a rendszerkomponens viszont marad, és a jelentés szerint ezeket a modulokat amúgy is folyamatosan újratelepíti.

2. Ne várd meg, hogy kiderüljön, mi lesz a következő modul. Amit ma reklámcsalásra használnak, az holnap mást is tölthet le, mert a letöltött kódot a támadó választja ki, nem a telefonon lévő program. Ha ilyen készüléked van, ne használd netbankhoz, hivatalos ügyintézéshez, kétlépcsős azonosításhoz és munkahelyi fiókokhoz. Egy dolgot viszont előbb intézz el: ha a kétlépcsős azonosításod most ezen a telefonon van, először költöztesd át egy másik eszközre, és mentsd le a tartalék kódokat – különben a saját fiókjaidból zárod ki magadat.

Ami marad: a készülék cseréje és a vásárlói jogaid érvényesítése. Erről – elállás, kellékszavatosság, nem uniós piacterek, bankkártyás visszaterhelés – részletesen írtunk az SD-kártyás cikkünk fogyasztóvédelmi szakaszában; ugyanaz a logika érvényes egy olyan telefonra is, ami nem azt tudja, amit a hirdetés ígért. Ha a telefont lecseréled, az átköltözésben az adatátvitelről szóló útmutatónk segít – de a régi készülékről csak a saját adataidat vidd át, alkalmazásokat ne.

Mire figyelj a következő telefonnál

A megelőzés itt sokkal olcsóbb, mint a javítás. Öt dolog, ami tényleg számít.

1. Nézd meg, hogy a típus egyáltalán létezik-e. A Google közzétesz egy listát a támogatott készülékekről, és van egy külön oldala, amely a Play Protect-tanúsítást mutatja be. Ezek hasznosak, de óvatosan: a jelentésben leírt klónok épp azért mondanak be létező típusazonosítót, hogy a listán „megtalálhatók” legyenek. A listát tehát arra használd, hogy a gyártó és a marketingnév valóban összetartozik-e, ne arra, hogy egy konkrét telefon tiszta-e.

2. A legolcsóbb kategóriában a csúcstelefon-név hazugság. Ha egy „S25 Ultra” vagy egy „i17 Pro Max” harmincezer forintért kapható, az nem alkalmi vétel: az a telefon klón. A jelentésben pont ezek a típusnevek szerepelnek a hamisított csoportban.

3. A márkának legyen itt arca. Magyar nyelvű támogatás, elérhető ügyfélszolgálat, dokumentált frissítési vállalás. Ha a gyártóról csak egy piactéri adatlap létezik, nincs kihez fordulnod.

4. Számít, hogy hol veszed. Uniós kereskedőtől vásárolva elállási jogod és kellékszavatossági igényed van. Egy nem uniós piactérről rendelt telefonnál ezek jó része elvész – erről is írtunk az SD-kártyás cikkben.

5. Teszteld az első héten. Nézd meg a Play Protect-tanúsítványt, az előre telepített alkalmazásokat és az adatforgalmat, amíg még bőven az elállási határidőn belül vagy. Ez pont az a hiba, amit a hamis memóriakártyáknál is a legtöbben elkövetnek: a doboz hónapokig áll a fiókban, és mire kiderül a baj, lejárt a határidő.

Amit nem mondunk

Három dolgot szándékosan nem állítunk ebben a cikkben, mert a kutatók sem állítják.

Nem mondjuk, hogy minden olcsó Android-telefon fertőzött. A jelentés megfigyelt esetekről szól, nem egy piac egészéről.

Nem mondjuk, hogy a megnevezett márkák tudatosan terjesztettek kártevőt. A Bitdefender jogi kitétele kifejezetten rögzíti, hogy a tanúsítványok, csomagnevek és kiszolgálók megnevezése kizárólag technikai megfigyelés, és nem jelenti azt, hogy az érintett felek írták, terjesztették vagy tudatosan segítették a kártevő terjedését. A kutatók tehát erről nem állítanak semmit – és a tanúsítványok eredete is tisztázatlan.

És nem mondjuk, hogy ellopták a jelszavadat vagy az SMS-eidet: a képesség megvolt, a visszaélést a kutatók nem figyelték meg.

Amit viszont nyugodtan kimondunk: egy olyan telefon, amin rendszerjogosultsággal fut idegen kód, amit nem lehet letörölni, és ami ki tudja kapcsolni a Google vizsgálóját, nem alkalmas arra, hogy a banki alkalmazásod fusson rajta, vagy hogy a hivatalos ügyeidet intézd vele. Ennyi elég a döntéshez.

Gyakran ismételt kérdések

Honnan tudom, hogy érintett-e a telefonom?

Otthon biztosan nem lehet eldönteni. Három dolgot nézhetsz meg: a Play Protect-tanúsítványt a Play Áruház Beállítások → Névjegy pontjában, a telepített alkalmazásokat, és azt, hogy fogy-e indokolatlanul az akkumulátor és az adatkeret. Egy mobilos biztonsági alkalmazás is jelezhet: a kutatást is egy ilyen program jelzése indította el.

Segít a gyári visszaállítás?

Nem. A kártevő a rendszerpartíción érkezik, a gyári visszaállítás viszont a felhasználói adatokat törli, nem a gyári szoftvert. A kutatók szerint a takarításhoz a firmware szintjén kellene beavatkozni, vagy fejlesztői eszközzel letiltani a komponenst – és egyiket sem tartják reálisnak egy átlagos tulajdonos számára.

Doogee vagy Cubot telefonom van. Fertőzött?

Nem következik. A jelentés annyit mond, hogy a legnagyobb darabszámú típusnevek ehhez a két márkához köthetők, és a Bitdefender külön rögzíti, hogy ez technikai megfigyelés, nem vád a gyártókkal szemben. Ráadásul a kutatók szerint számos más telefonon is megtalálható ugyanez a kártevő. A típusnév alapján tehát sem elítélni, sem felmenteni nem lehet egy készüléket – nézd meg konkrétan a sajátodat.

Mit jelent, hogy nincs Play Protect-tanúsítványa az eszközömnek?

A Google szerint azt, hogy nincs nyilvántartásuk arról, hogy a készülék megfelelt volna az Android-kompatibilitási teszten. Ilyenkor előfordulhat, hogy a telefon nem biztonságos, nem kap rendszer- és alkalmazásfrissítéseket, és a rajta lévő Google-alkalmazások nem licenceltek. A Google azt javasolja, fordulj a gyártóhoz, és kérj tanúsítvánnyal rendelkező eszközt.

Elég a telefonra egy vírusirtó?

Rendszerszintű kártevő ellen önmagában nem. Egy mobilos biztonsági alkalmazás felhívhatja a figyelmet a gyanús komponensre, eltávolítani viszont nem tudja, mert ahhoz a rendszerpartícióhoz kellene hozzáférnie. Hasznos, de nem megoldás.

A Google Play-ről letöltött appok biztonságosak?

Jóval biztonságosabbak, mint máshonnan, de nem sérthetetlenek: ebben az ügyben tizenhárom alkalmazás átment a Play ellenőrzésén. A jó hír, hogy ezek hétköznapi appok voltak, rendszerjogosultság nélkül – vagyis letörölhetők.

Érdemes olcsó Android-telefont venni egyáltalán?

Igen, csak nem mindegy, kitől. Az ismert márkák belépőszintű készülékei rendben vannak, kapnak frissítést, és van kihez fordulni. A gond a névtelen, fehércímkés készülékekkel és a hamisított csúcstelefonokkal van – ezeknél a feltűnően alacsony ár nem kedvezmény, hanem üzleti modell.