· adswds-team · セキュリティ · 3 min read
Midnight Mimosa：格安 Android プリロードが「住宅プロキシ」になったあと
藍点網が Bitdefender の Midnight Mimosa を伝えた：格安 Android ファームウェアのプリインストールが広告自動クリックと TCP 中継（住宅プロキシ）に使える。海外広告では『人間らしい』出口が最初から汚れている場合がある——識別と収束に焦点。
藍点網の報道（2026-10-09）によると、Bitdefender は Midnight Mimosa を詳述した：悪意あるコンポーネントが格安 Android のファームウェアに初回起動前から存在し、アクティベート後にシステム部品を装い、ジャンクアプリのインストール、広告の隠蔽表示・自動クリック、TCP プロキシによる遠隔中継——いわゆる住宅プロキシノード登録が可能。C2 は確認；テストでは具体的な転送先は安定して観察されなかった。
一言で：一部の「家庭ブロードバンド出口」は、最初から進んで上网したユーザーではなく、工場出荷の肉鶏だ。
1. 技術像（藍点網）
| 項目 | 内容 |
|---|---|
| 名称 | Midnight Mimosa |
| 範囲 | 150+ か国；多ブランド／白箱の格安 Android |
| 仕込み | 初回起動前のファームウェア（OEM プリロードに近い） |
| 権限 | システム級のインストール/権限付与/遠隔コード |
| 対抗 | Play を一時停止してからマルウェア導入、その後再開 |
| マネタイズ | 広告表示/自動クリック；中継で出所隠蔽や LAN 探査 |
| 限界 | C2 確認；実転送はテストで未完全実証 |
バイヤーにとって「住宅 IP + モバイル UA」＝優良ユーザーではない。
2. 無効トラフィックとの関係
従来の汚いトラフィックはデータセンター ASN で露呈しやすい。Mimosa 系は出口を実家庭/モバイル網に押し上げ、広告自動クリックを重ねる。
支出は「人間っぽく」、コンバージョンと滞在はスクリプトっぽくなりうる。IP ブラックリストだけでは根治しない。
3. 出稿 / LP 側でできること
| アクション | 説明 |
|---|---|
| デバイス切片 | 格安クラスタ、異常 WebView、共通ファーム指紋 |
| 行動の組み合わせ | 固定滞在秒、無操作 PV、整いすぎたホットスポット |
| クリック ID 突合 | 広告クリック ↔ LP ↔ 業務イベント |
| プレースメント分離 | 高リスク枠は別予算 |
| 入口ルール | 明確な自動化はエッジで収束；誤検知の抽出検査 |
| API 制限 | フォーム/SMS を HTML と分離 |
訪問者ルールは不一致の業務ページ流入を減らせるが、プラットフォーム IVT と突合材料の代替にはならない。
4. 落とし穴
国単位の一刀両断；CAPTCHA だけ；「モバイルならきれい」という直感。
5. まとめ
藍点網の Mimosa は「住宅プロキシ」を工場ファームウェア層まで押し下げた。品質の代理指標が「IP が家庭っぽい」だけなら誤誘導される。デバイスクラスタ・行動分布・クリック ID 突合で構造を見る。
