Điện thoại Xiaomi nội địa: biết người dùng cài "app lạ", gởi screenshot về máy chủ để đánh giá

Ngày 31 tháng 10, 2026, tài khoản MeTerminator666 đăng một bài phân tích trên X khiến nhiều người dùng Android Trung Quốc chú ý. MeTerminator666 kể rằng một số người bạn dùng máy Xiaomi nội địa gần đây nhận được cuộc gọi từ công an địa phương, yêu cầu gỡ ứng dụng X (Twitter) và Telegram. Một trong những máy đó là Xiaomi 14 chạy HyperOS 3 đã được root, nên MeTerminator666 tiến hành phân tích các thành phần hệ thống có khả năng báo cáo danh sách ứng dụng.

Kết quả phân tích cho thấy hai thành phần chính

- SystemHelper (com.mobiletools.systemhelper): Theo dõi các ứng dụng có hoạt động trong 24 giờ gần nhất, liệt kê ứng dụng đã cài (bỏ qua các gói bắt đầu bằng com.android), gắn kết với thống kê sử dụng và lưu lượng mạng. Payload còn chứa các trường IMEI, IMSI, ICCID, cho phép liên kết thông tin ứng dụng với định danh thiết bị và SIM. Dữ liệu được gửi về máy chủ của Xiaomi và một địa chỉ của China Unicom ( dm.wo.com.cn ).

- 系统安全组件 (thường là com.miui.guardprovider hoặc liên quan đến Security Center): Báo cáo danh sách ứng dụng bên thứ ba (tên gói, phiên bản, chữ ký, tên hiển thị), kết quả quét ứng dụng giả mạo. Đặc biệt, nó có chức năng quay màn hình khoảng 3 giây (độ phân giải 720×1280, 24 fps), chuyển thành Base64, mã hóa rồi upload lên đám mây Xiaomi để đánh giá “có phải rủi ro hay không”. Nếu không phát hiện rủi ro thì xóa file tạm và tiếp tục chu kỳ; nếu có thì giữ lại và hiển thị cảnh báo.

MeTerminator666 ghi chú rằng reverse engineering được thực hiện với sự hỗ trợ của GPT và khuyến cáo người dùng không nên dùng máy Android nội địa để cài ứng dụng nước ngoài hoặc dùng công cụ vượt tường lửa, nên ưu tiên iPhone bản quốc tế hoặc ROM AOSP thuần.

Phân tích trên không đứng một mình. Ngày 13 tháng 10, 2026, blog công nghệ ChrisLi-Tech đã công bố kết quả reverse engineering trên Redmi K90 (HyperOS 3.0.306). Ngay cả khi người dùng từ chối chính sách riêng tư của ứng dụng Security Center, các thành phần chống lừa đảo vẫn tiếp tục hoạt động và ghi nhận:

- Chia sẻ màn hình / quay màn hình

- Cuộc gọi VoIP và số điện thoại liên quan đến gian lận

Dữ liệu được lưu trong cơ sở dữ liệu SQLite nội bộ tại đường dẫn (/data/misc/user/0/securitycenter/fraud_detection_data.db). Hệ thống này thuộc khung bảo mật XSOF (Xiaomi Security Open Framework). Nhiều ứng dụng bên thứ ba (bao gồm Xiaohongshu, một số ứng dụng Baidu và Alibaba) được cấp quyền ACCESS_XSOF và có thể truy vấn thông tin rủi ro trên thiết bị.

Tài liệu chính thức dành cho nhà phát triển của Xiaomi (cổng HyperOS) mô tả dịch vụ “设备涉诈检测” (Phát hiện gian lận trên thiết bị). Dịch vụ này cung cấp điểm rủi ro và gắn cờ hành vi cho ứng dụng đối tác, bao gồm: có chụp màn hình, có chia sẻ màn hình, có cài ứng dụng tài chính/cho vay/rủi ro, có cuộc gọi VoIP đáng ngờ… trong cửa sổ thời gian lên đến 72 giờ. Tài liệu cũng ghi nhận rằng một số hành vi vẫn có thể bị phát hiện ngay cả khi người dùng đã xóa lịch sử cuộc gọi hoặc gỡ ứng dụng.

Tại Trung Quốc, các nhà sản xuất điện thoại được yêu cầu tích hợp cơ chế chống lừa đảo (反诈) ở mức hệ thống. Mục đích chính thức là ngăn chặn các vụ lừa đảo qua điện thoại, ứng dụng giả mạo và chuyển tiền bất thường, một vấn đề khá phổ biến tại nước này. Tuy nhiên, cùng một cơ chế này cũng tạo ra khả năng giám sát diện rộng: máy biết người dùng đang cài những ứng dụng nào, có đang dùng công cụ VPN/proxy không và có thể ghi lại các đoạn screenshot để phân tích.

Trên máy không root, những thành phần này gần như không thể gỡ bỏ hoàn toàn bằng cách thông thường. Cộng đồng đã phát triển một số module LSPosed (ví dụ AppListUploadBlocker) để chặn việc upload danh sách ứng dụng từ guardprovider, nhưng điều này chỉ khả dụng trên thiết bị đã root và có rủi ro riêng.

Sự việc cho thấy trên các thiết bị Android nội địa chạy HyperOS (và nhiều ROM Android Trung Quốc khác), ranh giới giữa “bảo vệ người dùng khỏi lừa đảo” và “thu thập dữ liệu hành vi sâu” rất mỏng. Nếu bạn thường xuyên sử dụng ứng dụng nước ngoài, mạng xã hội bị hạn chế hoặc công cụ vượt tường lửa, việc dùng máy nội địa mang lại rủi ro cao hơn về mặt bị phát hiện và bị yêu cầu gỡ ứng dụng.

Người dùng quan tâm đến quyền riêng tư thường được khuyên:

- Ưu tiên iPhone bản quốc tế hoặc máy Android chạy ROM gần với AOSP (không phải bản nội địa).

- Nếu bắt buộc dùng máy Xiaomi/HyperOS, hạn chế cài các ứng dụng nhạy cảm và cân nhắc dùng thiết bị riêng cho các hoạt động cần bảo mật.

- Với máy đã root, có thể cân nhắc các giải pháp chặn upload, nhưng cần hiểu rõ rủi ro kỹ thuật và pháp lý.

Bài đăng gốc của MeTerminator666 đã nhận được hơn 1,3 triệu lượt xem chỉ trong vài ngày, cho thấy vấn đề này đang được cộng đồng quan tâm rộng rãi. Các phân tích kỹ thuật độc lập và tài liệu chính thức của Xiaomi đều xác nhận sự tồn tại của các cơ chế thu thập và chia sẻ dữ liệu này, dù mục đích được công bố là chống gian lận.