Sebastian Juul
Säkerhetsföretaget Bitdefender har hittat en skadlig kod förinstallerad i firmware på tusentals lågpristelefoner.
Koden heter Midnight Mimosa och ligger i systempartitionen redan innan köparen slår på telefonen för första gången. Den kan inte avinstalleras på vanligt sätt. Fyndet publicerades av Bitdefender Labs den 8 oktober 2026 och omfattar lågprisandroid med MediaTek-kretsar.
Enligt säkerhetsföretaget rör det sig om tusentals infekterade enheter i mer än 150 länder. Flest fall har hittats i Mexiko, Frankrike och Italien, följt av USA, Tyskland, Brasilien och Spanien.
Så fungerar den förinstallerade koden
Huvudkomponenten är ett systempaket som heter com.android.system.lite. Eftersom paketet ligger i systempartitionen körs det med samma rättigheter som själva operativsystemet, vilket betyder att det tyst kan installera och radera appar, dela ut behörigheter och ladda kod från en server någon annanstans.
Före en installation stänger koden av Googles egen skyddsfunktion Play Protect och slår på den igen efteråt, så att skadliga paket kan läggas in utan att skannern reagerar. På det sättet används telefonen bland annat till annonsbedrägerier, falska klick och som en så kallad residential proxy, det vill säga en nod som döljer trafiken för en kriminell aktörs räkning.
Bitdefender uppger att det inte går att ta bort koden via telefonens vanliga inställningar. Enligt BleepingComputer krävs det en rengöring på firmware-nivå eller att den skadliga komponenten slås av via utvecklarverktyget Android Debug Bridge, en metod som är svår för de flesta vanliga användare.
Vilka telefoner är drabbade
I rapporten pekar Bitdefender ut flera konkreta modeller. Två av dem är Doogee S200 X och Cubot KINGKONG X, båda tåliga lågprismodeller som ofta säljs via internationella marknadsplatser. Resten är så kallade vita märken, det vill säga enheter som utger sig för att vara dyrare telefoner och i firmware marknadsförs under namn som S24 Ultra, S25 Ultra och S26 Ultra. Enligt rapporten är det kopior, inte riktiga Samsung-telefoner, som är infekterade.
Den gemensamma nämnaren är MediaTek-plattformen. Hur själva den skadliga koden kommit in i tillverkningsledet är ännu inte klarlagt, men mönstret pekar enligt forskarna på en kompromettering någonstans i leveranskedjan.
13 appar på Google Play med samma kod
Vid sidan av firmware-fyndet har Bitdefender också identifierat 13 appar på Google Play som kommunicerade med samma infrastruktur och innehöll samma annonsbedrägeri-kod. Apparna låg under två separata utvecklarkonton och har tagits bort från butiken. Till skillnad från firmware-varianten hade dessa appar inte systemrättigheter, men de räckte för att dra in annonspengar på användarnas bekostnad.
Mönstret med skadlig kod förinstallerad på billig hårdvara är inte nytt. Teksajten har tidigare rapporterat om hur billiga TV-boxar läser av hela hemmanätverket och om 27 farliga produkter som dragits från EU-marknaden efter köp på Temu och liknande plattformar.
Så minskar du risken
Eftersom koden sitter i systempartitionen är det nästan omöjligt att bli av med den efter köpet. Bitdefenders råd är därför i första hand förebyggande: köp telefoner från auktoriserade återförsäljare och undvik okända varumärken till ovanligt låga priser via marknadsplatser utan tydlig svensk konsumentkanal.
För den som misstänker att en redan köpt telefon är infekterad finns två alternativ enligt rapporten: en fullständig firmware-rengöring, eller att slå av den skadliga komponenten via Android Debug Bridge. Är ingen av metoderna möjlig är Bitdefenders rekommendation att byta ut enheten.
