Billige Android-mobiler sælges med malware: Tjek din telefon

Billige Android-mobiler bliver solgt med malware, der ligger i telefonen, før køberen har tændt den første gang. Det dokumenterer sikkerhedsfirmaet Bitdefender i en rapport fra 8. oktober 2026 (opdateret 9. oktober) om en kampagne, forskerne kalder Midnight Mimosa. Den er set på tusindvis af enheder i mere end 150 lande over cirka to år.

Det særlige er placeringen. Malwaren ligger ikke i en app, brugeren har hentet, men i selve systemsoftwaren — firmwaren — på lavprismobiler og -tablets bygget på MediaTek-chips. Derfor kan den ikke afinstalleres, og en nulstilling til fabriksindstillinger fjerner den ikke. Det ændrer, hvad en almindelig ejer kan gøre ved det, og det er det, denne artikel handler om.

Hvad Bitdefender har fundet

Kernen er en systemapp med pakkenavnet com.android.system.lite. Den vises under det intetsigende navn "System", har skjult ikon og er signeret med telefonens platformnøgle, hvilket giver den samme rettigheder som styresystemets egne dele. Ifølge Bitdefenders analyse kan den installere og slette andre apps og selv tildele dem tilladelser — uden at spørge.

Det bruger den til at hente en skiftende række apps ned på telefonen: falske app-låse, vejr-apps, filhåndteringer, ikonværktøjer og lydredigering. Bitdefender tæller mindst 32 af dem. De bliver lagt ind og fjernet igen i et mønster, der ifølge rapporten skal forkorte den tid, hver app er synlig på applisten. Lige før en installation slår malwaren Google Play Butik fra og tænder den igen bagefter, så Play Protect ikke når at kigge med.

Formålet er penge fra annoncer. Apps'ene viser reklamer og fabrikerer visninger og klik, som annoncenetværkene betaler for. Én af de nedhentede komponenter (com.mobile.applock.en) er desuden bygget til at gøre telefonen til et led i et proxynetværk, hvor fremmedes trafik sendes ud gennem ejerens internetforbindelse. Her er Bitdefender forsigtig, og det bør vi også være: i forskernes test blev telefonen tilmeldt netværket, men den fik ingen opgaver, og der blev ikke sendt trafik igennem den. Funktionen findes; at den er i brug, er ikke påvist.

Rapporten nævner også, at malwaren har adgang til tilgængelighedstjenester, notifikationer og sms. Forskerne så ikke de tilladelser blive brugt.

Hvilke telefoner — og hvorfor svaret er mindre klart, end overskrifterne antyder

Mange medier har skrevet, at to navngivne modeller er ramt. Det er en forenkling.

Bitdefender skriver, at de to modelnavne, der optræder oftest i deres data, er "S200 X", som forbindes med Doogee, og "KINGKONG X", som forbindes med Cubot. Men rapporten siger i samme åndedrag, at modelnavnet er "a spoofing indicator, not a real device inventory" — altså et tegn på forfalskning og ikke en pålidelig liste over enheder. En telefon kan melde et hvilket som helst modelnavn, og en del af de ramte enheder gør netop det: Bitdefender har set malwaren på kopier, der kalder sig "S25 Ultra", "S26 Ultra", "i17 Pro Max" og "iPadAirPro", og på enheder, der oplyser en Samsung-modelkode uden at være Samsung-telefoner.

Det betyder tre ting, som er vigtige at holde adskilt:

• Det er ikke påvist, at alle Doogee S200 X eller Cubot KingKong X er inficeret. Det skriver Bitdefender ikke, og det gør vi heller ikke.
• Bitdefender anklager ikke Doogee eller Cubot for at have lagt malwaren ind eller kendt til den. Rapporten fastslår ikke, hvor i forsyningskæden den kommer ind.
• Signaturen på systemappen peger på firmaet Shenzhen Zediel, men Bitdefender understreger, at det er en teknisk kobling til firmwarens forsyningskæde og ikke bevis for, at firmaet har skrevet, distribueret eller kendt til malwaren.

En detalje, vi selv har bemærket: Det eneste konkrete hardwaregrundlag, rapporten nævner, er MediaTek-platformen MT6762, en ældre og billig chip. Den ægte Doogee S200X har ifølge Notebookchecks datablad en MediaTek Dimensity 7050. Det er vores egen sammenstilling og ikke Bitdefenders konklusion, og rapporten siger ikke, at alle ramte enheder kører MT6762. Men det understøtter, at et modelnavn i sig selv ikke siger meget om, hvad der er inde i telefonen.

Sælges de i Danmark?

Bitdefender oplyser ingen tal for Danmark eller Norden. De lande, der fylder mest, er Mexico, Frankrig og Italien, fulgt af USA, Tyskland, Brasilien og Spanien. Blandt firmwarenavnene er flere med endelsen _EEA, som betegner udgaver til det europæiske marked.

Vi har undersøgt, hvad der kan købes herhjemme. Både Doogee og Cubot sælges til danske kunder: PriceRunner og Prisjagt har prissammenligninger på en række modeller fra begge mærker, CDON har dem på hylden, Proshop fører Cubot, og Doogee sender fra sin egen webshop til Danmark. I de opslag, vi så, lå priserne fra omkring 1.600 til knap 3.900 kroner.

Det, vi ikke har kunnet bekræfte, er de to præcise modeller. Vi fandt ingen dansk forhandler med Doogee S200 X, og af Cubot fandt vi kun varianten KingKong X Pro 5G i et søgeresultat fra en dansk erhvervsgrossist, hvis side vi ikke kunne åbne. Modellerne kan sagtens være til salg et sted, vi ikke har set — men vi kan ikke dokumentere det.

Den større risiko for danske købere ligger efter vores vurdering et andet sted, og det er vores egen slutning, ikke noget kilden siger om Danmark: Bitdefender beskriver forfalskede topmodeller, der sælges globalt via onlinemarkedspladser. En "S26 Ultra" til 700 kroner på en markedsplads er præcis den type enhed, rapporten handler om.

Sådan tjekker du din telefon

Der findes ingen knap, der giver et sikkert svar, men der er tre ting, du kan se efter.

1. Kig efter symptomerne. Bitdefender beskriver apps, der dukker op og forsvinder igen, uden at du har installeret dem, fuldskærmsreklamer, der åbner, uden at du har startet noget, og Play Butik, der kortvarigt er væk. Blandt de apps, forskerne så blive lagt ind, er disse pakkenavne:

2. Se systemapps igennem. Åbn Indstillinger → Apps → Se alle apps, tryk på menuen med de tre prikker og vælg Vis system. Menunavnene varierer fra mærke til mærke, og på billige telefoner med mangelfuld oversættelse kan de hedde noget andet. Led efter en post, der blot hedder "System". Det er ikke et bevis i sig selv, så det afgørende er pakkenavnet.

3. Slå pakkenavnet op. Androids egen appliste viser på mange telefoner kun appens navn. Pakkenavnet kan du se med et gratis værktøj, der viser pakkenavne, eller fra en computer med Googles udviklerværktøj ADB. De navne, Bitdefender knytter til selve systemkomponenten, er:

Finder du ét af dem, er telefonen efter alt at dømme ramt.

Hvad du kan gøre — og hvad der ikke virker

Her er svaret desværre kort. Bitdefender skriver, at oprydning kræver "firmware-level cleanup or disabling the component over ADB", og at man ikke kan afinstallere sig ud af det.

• Fabriksnulstilling hjælper ikke. Den sletter dine data og apps, men ikke systemsoftwaren, hvor malwaren ligger.
• En firmwareopdatering hjælper kun, hvis producenten udsender en ren udgave. En almindelig opdatering lægger producentens software ind igen — og er fejlen i den, følger den med. Vi har ikke fundet nogen udmelding fra Doogee, Cubot eller Google siden rapporten udkom, og ingen kilde, vi har set, melder om en renset firmware.
• ADB er ikke for almindelige brugere. Det kræver, at du slår udviklerindstillinger til, forbinder telefonen til en computer og deaktiverer komponenten med en kommando. Bitdefender kalder det selv urealistisk for de fleste ejere, og en deaktiveret komponent er ikke det samme som en ren telefon.

At slette de enkelte reklameapps hjælper heller ikke længe, for systemkomponenten henter bare nye.

Vores råd — og det er redaktionens, ikke Bitdefenders: Finder du et af pakkenavnene, så brug ikke telefonen til MitID, netbank eller arbejdsmail. Bitdefender har ikke set malwaren stjæle bankoplysninger, men en telefon, hvor en fremmed part kan installere apps og tildele tilladelser bag om ryggen på dig, er ikke et sted at have sin digitale identitet. Er telefonen købt hos en forhandler inden for de seneste to år, bør du efter vores vurdering også reklamere over den — en telefon, der leveres med malware, er svær at kalde fejlfri.

Vi har tidligere beskrevet, hvad den slags software kan bruges til, når den først har fodfæste: Manic, der tapper bankapps og eID, og RatHat, der styrer telefonen med en AI-assistent. Forskellen er, at de to skal narres ind på telefonen. Midnight Mimosa er der i forvejen — ligesom vi så det med malwaren i DoFun-bilradioer, der kom ind gennem enhedens egen opdateringsfunktion.

13 apps i Google Play med samme kode

Rapporten har også en del, der vedrører ejere af helt almindelige telefoner. Bitdefender fandt den samme annoncesvindel-kode i 13 apps i Google Play, signeret med 13 forskellige certifikater fordelt på mindst to udviklerkonti. Rapporten oplyser kun pakkenavnene:

com.audify.editor.wavrge, appicon.diy.tools.prop, com.audify.editor.pro, com.prorestore.qr, com.message.recovery.prorestore, com.go.weather.mot, com.cool.weather.yl, com.dmstudio.weather, com.dl.guard.lock, picturetranslate.extractor.text.lite, com.notemaster.record.mark, com.arabmusic.tap.aghani_tamerhosny og org.life.goal.tools.

Bitdefender skriver ikke, om Google er blevet underrettet, eller om apps'ene er fjernet, og det har vi heller ikke kunnet få bekræftet andre steder. Har du en af dem, kan du afinstallere den på normal vis via Play Butik under Administrer apps og enheder, som Google beskriver i sin vejledning til at slette apps på Android. Det er endnu en påmindelse om, at en plads i butikken ikke er en garanti, som vi også har skrevet om i guiden til Google Play-apps uden anmeldelser.

Konklusion

Midnight Mimosa er først og fremmest et problem, køberen ikke kan løse selv. Bitdefender placerer ansvaret hos de producenter og markedspladser, der leverer og sælger den ramte firmware, og indtil nogen af dem melder ud, findes der ingen ren opdatering at vente på.

Det, der er værd at holde øje med de kommende uger, er, om Doogee, Cubot eller Google reagerer, og om de 13 apps forsvinder fra Play. Indtil da er den praktiske lære enkel: Tjek pakkenavnene, hvis du har en billig Android-mobil fra et mindre kendt mærke — og vær dobbelt skeptisk over for en "flagskibstelefon" til en pris, der ikke kan passe.