Bitdefender обнаружила вредоносное ПО в прошивках недорогих Android-смартфонов
Компонент с системными правами может незаметно устанавливать приложения, участвовать в рекламном мошенничестве и превращать устройства в узлы прокси-сети. Больше всего заражённых устройств выявлено в Мексике.
Исследователи Bitdefender сообщили о вредоносном компоненте com.android.system.lite, предустановленном в прошивках недорогих Android-смартфонов на платформах MediaTek. Кампанию компания отслеживает под названием Midnight Mimosa.
Компонент работает с системными правами и получает конфигурацию с удалённого сервера. По данным Bitdefender, операторы могут загружать и выполнять дополнительный код, устанавливать либо удалять приложения и назначать разрешения, включая доступ к SMS, уведомлениям и специальным возможностям Android. Это позволяет использовать заражённые телефоны как узлы резидентской прокси-сети и включать их в ботнеты.
Для заработка схема задействует отдельные приложения-загрузчики, которые маскируются под обычные утилиты. Они подгружают рекламу через легитимный рекламный SDK и выводят невидимое окно поверх других приложений, регистрируя показ объявлений. Сам предустановленный компонент, как отмечают исследователи, не совершает мошеннические клики напрямую.
Bitdefender также нашла 13 приложений в Google Play, связанных с теми же управляющими серверами. Перед установкой полезной нагрузки вредоносная программа способна отключить Google Play Store, предположительно чтобы обойти защитные механизмы Play Protect, а затем включить магазин обратно.
Вредоносный компонент обнаружили на устройствах с прошивками, подписанными сертификатами, связанными с китайским производителем Shenzhen Zediel Co., Ltd. При этом Bitdefender не располагает данными о причастности или осведомлённости владельца сертификатов; в ходе расследования встречались и другие названия компаний. Исследователи допускают компрометацию цепочки поставок и указывают на пересечения инфраструктуры с Android.Phantom — ранее описанным Doctor Web вредоносным ПО для рекламного мошенничества.
Большинство выявленных заражённых устройств находятся в Мексике; далее следуют Франция, Италия, США, Германия, Бразилия, Испания, Великобритания, Канада, Румыния, Польша и Таиланд. Обычное удаление приложений проблему не решает: корневой компонент расположен в системном разделе. По оценке Bitdefender, для очистки нужна работа с прошивкой либо отключение компонента через ADB, поэтому устойчивое исправление зависит от производителей и площадок, поставляющих такие устройства.