结论先行：一份公开调查显示，一批低价移动终端在出厂固件里就被预置了带系统权限的组件，用户开机之前它已经在运行，恢复出厂设置也清不掉。这件事真正动摇的不是某一条检测规则，而是一个被反复默认的前提——所有面向用户的防线，都建立在「用户在安装环节知情」之上。企业侧能做的，是把「设备来源」和「出厂基线」变成可以核验的项。

调查披露了什么

据一家安全研究机构在 2026 年 10 月公开的调查，某芯片平台上的一批低价移动终端，其出厂固件中被预置了一组带平台签名的系统组件。这组组件在设备首次开机前就已存在，拥有系统级权限，可以静默安装与删除应用、自行授予辅助功能、通知读取与短信读写的权限，并从外部服务器拉取配置与后续载荷。

公开信息里有几组数据值得记住：预置组件本身以不断轮换的「像系统组件的名字」出现，发现同一套核心代码在不同构建、不同签名证书下出货；由此释放的伪装应用至少 32 个，包括仿冒的天气、应用锁、文件管理、图文识别与音频编辑类工具；另有十余个上架在官方应用商店的应用与同一套控制服务器通信，分属多个开发者账号与签名证书。这套东西的变现方式很直接——广告与点击欺诈、设备与应用信息收集，以及把终端变成住宅代理节点，也就是把使用者的网络出口租出去。

调查称这套活动持续约两年，覆盖一百多个国家和地区，感染设备以千台计。

为什么它是「另一类」威胁

常规的终端恶意软件要么靠用户点击，要么靠侧载，要么靠应用商店里混进一两个坏应用。预置固件跳过了这三个环节：不经过安装提示，不经过商店审核，也不在用户的决定范围内。研究机构的表述很直接——面向用户的每一道防线都假设用户在安装环节是知情的：安装提示、商店审核、平台侧防护、以及事后可以卸载。预置把这个假设整体跳过了。

后果落在补救手段上：因为根组件在系统分区里，正常途径卸不掉，需要做固件级清理或通过调试接口停用组件，这两条对绝大多数使用者都不现实。研究机构给出的判断是，持久的解法在供货方和销售渠道那一侧。

检测方式的变化比恶意样本本身更值得注意

这起调查的发现过程也提供了一个方法论上的转折：它是通过设备侧的行为异常检测被发现的，而不是靠扫描。「扫一遍干净就等于安全」在这个场景下不成立——应用可以先休眠，几周后再变坏，也可以只在满足特定条件时才激活，因此能通过所有静态检查。真正抓住它的是「应用在设备上持续做什么」这一层判断。

这套逻辑放在企业终端上同样成立：静态扫描回答的是「这个文件是什么」，行为检测回答的是「它正在做什么」。两者不是替代关系，补齐后一层，才有机会发现那些出厂就带着、签名也齐全的组件。

企业侧可以做四件事

  • 把「设备来源」当成一个可以核验的字段。采购渠道是否可追溯、供货方是否可追责、固件是否可验证来源，这三问应当在选型阶段回答完，而不是等到终端进场。
  • 给不可卸载的出厂组件单独建一档。细粒度资产管理通常会自动采集进程、端口、账号、软件与中间件信息；在这份清单上，把「平台签名、不可卸载、用户未主动安装」的组件标出来单独复核，比在被投诉之后再去查要省事得多。
  • 自带设备政策里，给「无法验证的设备」留一档。不是禁掉，而是把它归入受限访问级别：可以上协作类应用，不进入核心业务系统的登录路径。
  • 把行为检测和资产变更追踪接上。出厂预置的组件会随着固件更新换名字、换签名，只看一次域名或一个包名，下次就漏了；以资产变更为触发的复核更耐得住这类轮换。

边界与前提

这份调查针对的是消费市场的低价移动终端，与企业在受控渠道采购的办公终端不是同一类风险等级——企业批量采购通常有更强的渠道管控与来源追溯。需要说清的是，「出厂就带着」这个风险类别本身同样适用于企业终端，只是表现形式不同。文中的数量与地区分布为公开调查口径，属参考值；已公开材料未指出设备的正常使用者在其中存在过错，也不构成对任何具体厂商、渠道或平台的评价。

深圳市奇摩计算机有限公司在为政企客户做国产化终端改造时，会把「终端基线」和「资产变更记录」放在同一轮梳理里完成，因为这两件事的输入是同一份资产清单，分开做等于做两遍。如果你的终端台账里还答不出「这台机器出厂时带了什么」，欢迎预约咨询。