Nogle billige Android-smartphones er nået ud til kunder med Midnight Mimosa-malware indlejret i deres firmware. Den ondsindede software kan installere apps i det skjulte, generere svigagtig annonceaktivitet og omdanne inficerede telefoner til residential proxies.
Bitdefender-forskere identificerede tusindvis af berørte enheder i mere end 150 lande over en periode på cirka to år. Mexico, Frankrig, Italien, USA, Tyskland, Brasilien og Spanien havde de højeste antal ofre.
Forskerne mistænker manipulation i forsyningskæden. De har dog ikke fastslået, hvem der ændrede firmwaren, eller hvor indgrebet fandt sted.
Ondsindet software leveres med systemrettigheder
Kampagnen rammer visse billige Android-enheder, der bruger MediaTek-chipsæt. De ondsindede komponenter ligger i systempartitionen og fungerer med forhøjede rettigheder.
Derfor kan de installere eller fjerne apps, give følsomme tilladelser og køre downloadet kode uden ejerens medvirken.
Pakkerne bruger også navne, der ligner legitime Android-komponenter, herunder com.android.system.lite, com.android.sys.prot og com.android.sys.gmsprot.
Fordi disse signerede apps kører som systemkomponenter, kan de ikke fjernes gennem Androids normale afinstallationsproces.
Bitdefender begyndte sin undersøgelse, efter at virksomhedens detektionsteknologi markerede en systemapp, der i hemmelighed installerede og slettede andre apps. Yderligere analyser afslørede et større framework, der henter yderligere moduler fra kommando- og kontrolservere.
Rapporter om enheder peger på firmwareproblemer
Forskerne fandt infektioner på enheder med modelnavne forbundet med legitime producenter, herunder Doogee S200 X og Cubot KINGKONG X. De identificerede også telefoner, der udgav sig for at være Samsung- og Apple-produkter.
Samtidig beskrev ejere, der diskuterede mistænkelig adfærd på et Android-communityforum, apps, som vendte tilbage efter at være blevet fjernet.
En ejer af Doogee Fire 3 Max rapporterede, at en officiel firmwareopdatering introducerede infektionen. Ifølge denne beretning fjernede gendannelse af ældre firmware infektionen, mens geninstallation af opdateringen fik den til at vende tilbage.
Nogle brugere oplyste, at efterfølgende opdateringer fra producenterne løste deres infektioner. Producenterne har dog ikke offentligt forklaret, hvordan de ondsindede komponenter kom ind i den berørte firmware.
Forskerne fandt også firmware signeret med certifikater forbundet med Shenzhen Zediel. Denne forbindelse fastslår ikke, at producenten var involveret i kampagnen.
Tilsyneladende almindelige apps genererer annoncesvindel
Midnight Mimosa-malwarens framework distribuerede cirka 32 apps forklædt som nyttige værktøjer. Disse omfattede vejrapps, filhåndteringsapps, applåse, værktøjer til optisk tegngenkendelse og lydredigeringsprogrammer.
Selvom appsene ser ud til at fungere normalt, indlæser nogle af dem annoncer i usynlige vinduer eller interagerer automatisk med annoncer.
Som følge heraf kan operatørerne generere svigagtige annoncevisninger og klik uden telefonens ejers deltagelse.
Malwaren forsøger også at undgå sikkerhedskontroller. Før den installerer yderligere software, deaktiverer den midlertidigt Google Play Butik-appen.
Ifølge Bitdefender har denne adfærd til formål at forhindre Google Play Protect i at opdage installationen. Bagefter gendanner malwaren Play Butik for at reducere synlige tegn på manipulation.
Nogle varianter ændrer også installationsregistreringer, så apps ser ud til at stamme fra Google Play, selvom de er blevet installeret af malwaren.
Proxy-modul kan dirigere trafik gennem inficerede telefoner
Forskerne opdagede en TCP-proxykomponent i en app, der udgav sig for at være en applås, med navnet com.mobile.applock.en.
Komponenten registrerer inficerede telefoner hos en fjernserver. Derefter kan den modtage instruktioner om at oprette forbindelse til bestemte værter og videresende trafik gennem enheden.
Denne funktion kan skjule oprindelsen af ondsindet aktivitet bag telefonens ejers internetforbindelse. Den kan også give adgang til systemer, der kan nås fra den inficerede telefon.
Forskerne skelnede dog mellem denne mulighed og bekræftet brug. De verificerede, at kommandoinfrastrukturen accepterede registreringer, men deres testenhed modtog ingen destinationer til videresendelse.
Derfor bekræftede deres test ikke nogen aktiv videresendelse af trafik.
Relaterede apps dukkede også op på Google Play
Separat identificerede Bitdefender 13 Google Play-apps, der indeholdt den samme kode til annoncesvindel og kontaktede kendt infrastruktur knyttet til kampagnen.
Disse apps manglede de systemrettigheder, der kræves for at installere anden software i det skjulte. Ikke desto mindre kunne de vise annoncer uden for deres egne brugergrænseflader, herunder når ejerne ikke brugte deres telefoner.
Forskerne knyttede appsene til 13 signeringscertifikater og mindst to udviklerkonti.
For enheder med inficeret firmware løser almindelig fjernelse af apps ikke det underliggende problem. Bitdefender oplyser, at afhjælpning kræver oprydning på firmwareniveau eller deaktivering af den ondsindede komponent via Android Debug Bridge, en proces, der kan være udfordrende for mindre teknisk kyndige brugere.
0 svar til “Midnight Mimosa-malware fundet forudinstalleret på billige Android-telefoner”