· adswds-team · 安全 · 5 min read
Midnight Mimosa：廉价安卓预装马成「住宅代理」后，广告流量该怎么看
蓝点网转述比特梵德报告：Midnight Mimosa 在廉价安卓固件预装，可弹广告、自动点击，并把设备注册为 TCP 中继（住宅代理）。对海外投放，这意味着部分「像真人」的出口本来就不干净——本文聚焦识别与收敛，而非攻击手法。
据蓝点网报道（2026-10-09），网络安全公司比特梵德披露名为 Midnight Mimosa 的大型恶意活动：恶意组件存在于廉价安卓设备固件中，用户购机激活后即被拉起；载荷可伪装系统组件、安装垃圾应用、隐藏展示与自动点击广告，并通过 TCP 代理把设备注册为远程中继——也就是常见口语里的住宅代理节点。比特梵德确认控制端存在，测试中未稳定观察到具体转发目标。
一句话：有些「家庭宽带出口」从来不是自愿上网的用户，而是出厂就打工的肉鸡。
一、技术画像（据蓝点网）
| 项 | 内容 |
|---|---|
| 名称 | Midnight Mimosa |
| 感染面 | 全球约 150+ 国家；多品牌及白牌廉价安卓 |
| 植入时机 | 首次开机前已在固件（近 OEM 预装形态） |
| 权限 | 系统级：装/卸应用、授权、加载远程代码 |
| 对抗 | 临时关闭 Play 商店再装马，完成后重启商店以降检出 |
| 变现 | 广告展示/自动点击；设备作中继掩盖流量来源或探测内网 |
| 观测限制 | 控制端确认；实际转发目标在测试中未完全坐实 |
这对投放人的意味很直接：平台侧「住宅 IP + 移动 UA」不再等于优质用户。
二、和无效流量的关系
传统脏流量常暴露为机房 ASN；Midnight Mimosa 类活动把出口推到真实家庭/移动网络，再叠加自动点击广告：
预装马激活
→ 拉广告 / 自动点击
→ （可选）把设备登记为代理节点
→ 第三方流量经该宽带出口访问你的落地页结果是：花费曲线可能「像人」，转化与停留却像脚本。单靠 IP 黑名单很难根治。
三、投放与落地侧可做的事
| 动作 | 说明 |
|---|---|
| 切片看设备 | 廉价机型簇、异常 WebView、统一固件指纹是否高花费低转化 |
| 看行为组合 | 固定停留秒数、无互动 pageview、热区点击过齐 |
| 对齐点击 ID | 广告点击与落地到达、业务事件三方对账 |
| 版位隔离 | 高风险激励/未知流量源单独预算 |
| 入口规则 | 对明显自动化与滥用做边缘收敛；同时抽检防误伤 |
| 接口限流 | 表单/短信与 HTML 分离，防止代理池撞接口 |
边缘访客规则可以降低「明显不匹配」进业务页的比例，但不能替代广告平台无效点击体系与对账申诉材料。
四、别踩的坑
- 把整个国家一刀切封掉：肉鸡对齐你的定向国家；
- 只上验证码：对预装系统级马，成本项而已；
- 只信「移动流量更干净」：本次报告正好打脸这一直觉。
五、小结
蓝点网转述的 Midnight Mimosa，把「住宅代理」从黑产工具链推到了出厂固件层级。海外广告优化若仍用「IP 看起来像家人」当质量代理指标，会被带偏。用设备簇、行为分布与点击 ID 对账看结构，比追逐单一黑名单更接近真相。
相关阅读：Facebook / Google Ads 差异。
