Enkelte rimelige Android-smarttelefoner har nådd kundene med Midnight Mimosa-skadevare innebygd i fastvaren. Den ondsinnede programvaren kan installere apper i det skjulte, generere falsk annonseaktivitet og gjøre infiserte telefoner om til residential proxy-servere.
Bitdefender-forskere identifiserte tusenvis av berørte enheter i mer enn 150 land over en periode på omtrent to år. Mexico, Frankrike, Italia, USA, Tyskland, Brasil og Spania hadde flest ofre.
Forskerne mistenker manipulering i forsyningskjeden. De har imidlertid ikke fastslått hvem som endret fastvaren, eller hvor inngrepet fant sted.
Ondsinnet programvare leveres med systemrettigheter
Kampanjen rammer enkelte rimelige Android-enheter som bruker MediaTek-brikkesett. De ondsinnede komponentene ligger i systempartisjonen og opererer med forhøyede rettigheter.
Dermed kan de installere eller fjerne apper, gi sensitive tillatelser og kjøre nedlastet kode uten eierens medvirkning.
Pakkene bruker også navn som ligner legitime Android-komponenter, blant annet com.android.system.lite, com.android.sys.prot og com.android.sys.gmsprot.
Fordi disse signerte appene kjører som systemkomponenter, kan de ikke fjernes gjennom Androids vanlige avinstalleringsprosess.
Bitdefender startet undersøkelsen etter at selskapets deteksjonsteknologi oppdaget en systemapp som i hemmelighet installerte og slettet andre apper. Videre analyser avdekket et større rammeverk som henter flere moduler fra kommando- og kontrollservere.
Rapporter om enheter peker mot problemer med fastvaren
Forskerne fant infeksjoner på enheter med modellnavn knyttet til legitime produsenter, blant annet Doogee S200 X og Cubot KINGKONG X. De identifiserte også telefoner som utga seg for å være Samsung- og Apple-produkter.
Samtidig beskrev eiere som diskuterte mistenkelig oppførsel på et Android-forum, apper som kom tilbake etter at de var fjernet.
En eier av Doogee Fire 3 Max rapporterte at en offisiell fastvareoppdatering introduserte infeksjonen. Ifølge denne brukeren forsvant infeksjonen da eldre fastvare ble gjenopprettet, mens den kom tilbake etter at oppdateringen ble installert på nytt.
Noen brukere opplyste at senere oppdateringer fra produsentene løste infeksjonene. Produsentene har imidlertid ikke offentlig forklart hvordan de ondsinnede komponentene havnet i den berørte fastvaren.
Forskerne fant også fastvare signert med sertifikater knyttet til Shenzhen Zediel. Denne forbindelsen beviser ikke at produsenten var involvert i kampanjen.
Tilsynelatende vanlige apper genererer annonsesvindel
Rammeverket for Midnight Mimosa-skadevaren distribuerte omtrent 32 apper forkledd som nyttige verktøy. Disse inkluderte værapper, filbehandlere, applåser, verktøy for optisk tegngjenkjenning og lydredigeringsprogrammer.
Selv om appene ser ut til å fungere normalt, laster noen av dem annonser i usynlige vinduer eller samhandler automatisk med annonser.
Dermed kan operatørene generere falske annonsevisninger og klikk uten telefonens eiers medvirkning.
Skadevaren forsøker også å omgå sikkerhetskontroller. Før den installerer ytterligere programvare, deaktiverer den Google Play Butikk-appen midlertidig.
Ifølge Bitdefender har denne oppførselen som mål å hindre Google Play Protect i å oppdage installasjonen. Etterpå gjenoppretter skadevaren Play Butikk for å redusere synlige tegn på manipulering.
Noen varianter endrer også installasjonsoppføringer, slik at apper ser ut til å komme fra Google Play selv om de ble installert av skadevaren.
Proxy-modul kan rute trafikk gjennom infiserte telefoner
Forskerne oppdaget en TCP-proxykomponent i en app som utga seg for å være en applås, med navnet com.mobile.applock.en.
Komponenten registrerer infiserte telefoner hos en ekstern server. Deretter kan den motta instruksjoner om å koble seg til bestemte verter og videresende trafikk gjennom enheten.
Denne funksjonaliteten kan skjule opprinnelsen til ondsinnet aktivitet bak telefonens eiers internettforbindelse. Den kan også gi tilgang til systemer som er tilgjengelige fra den infiserte telefonen.
Forskerne skilte imidlertid mellom denne muligheten og bekreftet bruk. De bekreftet at kommandoinfrastrukturen godtok registreringer, men testenheten deres mottok ingen destinasjoner for videresending.
Derfor bekreftet ikke testingen deres noen aktiv videresending av trafikk.
Relaterte apper dukket også opp på Google Play
Separat identifiserte Bitdefender 13 Google Play-apper som inneholdt den samme koden for annonsesvindel og kommuniserte med kjent infrastruktur knyttet til kampanjen.
Disse appene manglet systemrettighetene som kreves for å installere annen programvare i det skjulte. Likevel kunne de vise annonser utenfor sine egne grensesnitt, også når eierne ikke brukte telefonene sine.
Forskerne knyttet appene til 13 signeringssertifikater og minst to utviklerkontoer.
For enheter med infisert fastvare løser ikke vanlig avinstallering av apper det underliggende problemet. Bitdefender opplyser at utbedring krever opprydding på fastvarenivå eller deaktivering av den ondsinnede komponenten gjennom Android Debug Bridge, en prosess som kan være utfordrende for mindre teknisk kyndige brukere.
0 responses to “Midnight Mimosa-skadevare oppdaget forhåndsinstallert på rimelige Android-telefoner”