Низкобюджетные Android-смартфоны поставляются с вредоносным ПО, встроенным в прошивку устройства, что позволяет злоумышленникам скрытно устанавливать приложения, совершать мошенничество с рекламой и превращать устройства в домашние прокси-серверы. Эта активность, нацеленная на устройства Android на базе платформ MediaTek различных брендов, отслеживается компанией Bitdefender под кодовым названием Midnight Mimosa.
Предустановленное вредоносное ПО (“com.android.system.lite”) работает с привилегиями системного уровня, что позволяет ему устанавливать или удалять приложения, самостоятельно получать дополнительные разрешения для служб специальных возможностей, уведомлений и SMS, а также загружать произвольный код, поставляемый удаленно операторами. В частности, оно получает удаленную конфигурацию с внешнего сервера, а затем загружает и выполняет дополнительные полезные нагрузки, предназначенные для мошенничества с рекламой и бесшумной установки или удаления партнерских приложений. Эти приложения включают в себя функции проксирования, мошенничества с рекламой и выполнения кода. Оно также может предоставлять разрешения любому пакету приложений Android.
«Это, по сути, означает, что операторы могут устанавливать и удалять приложения по своему усмотрению, настраивая каждое устройство под свои нужды, в том числе делая их частью больших ботнетов», — заявила румынская компания по кибербезопасности. «Эта схема, вероятно, разработана в основном для получения дохода. Операторы занимаются мошенничеством с рекламой и кликами, собирают информацию об устройствах и установленных приложениях, а также превращают зараженные устройства в узлы ретрансляции домашних прокси, делая их зомби в ботнетах».
Стоит подчеркнуть, что само вредоносное ПО не участвует в мошеннических кликах. Вместо этого усилия по монетизации осуществляются через дроппер-приложения, маскирующиеся под безобидные утилиты, которые отвечают за загрузку реальной рекламы через законный SDK (Software Development Kit) для рекламы. Конечная цель — загрузить невидимое окно поверх приложений, которое регистрирует отображаемую рекламу.
В общей сложности Bitdefender обнаружила 13 приложений в Google Play, которые обмениваются данными с теми же серверами, что и вредоносное ПО, что указывает на то, что кампания не ограничивается предустановленной прошивкой. Примечательным аспектом вредоносного ПО является то, что оно отключает приложение Google Play Store перед установкой приложения с полезной нагрузкой, вероятно, в попытке обойти защиту Play Protect, а затем снова включает приложение после выполнения полезной нагрузки. Более того, вредоносное ПО было обнаружено на устройствах с прошивкой, подписанной сертификатами, принадлежащими Shenzhen Zediel Co., Ltd, китайскому производителю Android-устройств. Однако на данном этапе неясно, был ли владелец сертификата вовлечен в развертывание вредоносного ПО или знал о нем. Тем не менее, Bitdefender отметила, что в ходе своего расследования обнаружила и другие названия компаний.
Предустановленный характер вредоносного ПО предполагает компрометацию цепочки поставок устройств, при этом Bitdefender указывает на определенные совпадения инфраструктуры с Android.Phantom, который, как сообщалось компанией Doctor Web, был включен в модифицированные игры и популярные приложения для мошенничества с кликами. Подавляющее большинство зараженных устройств находится в Мексике, за ней следуют Франция, Италия, США, Германия, Бразилия, Испания, Великобритания, Канада, Румыния, Польша и Таиланд.
Это не первый случай обнаружения бэкдора на уровне прошивки, нацеленного на устройства Android. В конце прошлого года компания Kaspersky раскрыла подробности о другом вредоносном ПО под кодовым названием Keenadu, которое было обнаружено предустановленным на некоторых моделях планшетов под управлением Android для в основном мошенничества с рекламой.
«Предустановленное вредоносное ПО представляет собой иной класс угроз», — заявила Bitdefender. «Каждая защита, ориентированная на пользователя, предполагает, что владелец осведомлен об установке: запрос на установку, проверка в магазине, Play Protect и возможность последующего удаления». «Устранение не может полагаться на удаление. Поскольку корневой компонент находится в системном разделе, затронутый владелец не может удалить его обычным способом. Очистка устройства требует очистки на уровне прошивки или отключения компонента через ADB, и ни то, ни другое нереалистично для большинства людей, владеющих этими телефонами. Надежное решение лежит на производителях и торговых площадках, которые поставляют и продают затронутую прошивку».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
