Einige günstige Android-Smartphones wurden mit Midnight-Mimosa-Malware ausgeliefert, die bereits in ihrer Firmware eingebettet war. Die Schadsoftware kann unbemerkt Apps installieren, betrügerische Werbeaktivitäten erzeugen und infizierte Smartphones in Residential-Proxys verwandeln.
Forscher von Bitdefender identifizierten über einen Zeitraum von rund zwei Jahren Tausende betroffene Geräte in mehr als 150 Ländern. Mexiko, Frankreich, Italien, die USA, Deutschland, Brasilien und Spanien verzeichneten die höchsten Opferzahlen.
Die Forscher vermuten eine Manipulation der Lieferkette. Allerdings konnten sie nicht feststellen, wer die Firmware verändert hat oder an welcher Stelle dieser Eingriff erfolgte.
Schadsoftware wird mit Systemberechtigungen ausgeliefert
Die Kampagne betrifft bestimmte günstige Android-Geräte mit MediaTek-Chipsätzen. Die schädlichen Komponenten befinden sich in der Systempartition und arbeiten mit erweiterten Berechtigungen.
Dadurch können sie Apps installieren oder entfernen, sensible Berechtigungen erteilen und heruntergeladenen Code ohne Beteiligung des Gerätebesitzers ausführen.
Die Pakete verwenden außerdem Namen, die legitimen Android-Komponenten ähneln, darunter com.android.system.lite, com.android.sys.prot und com.android.sys.gmsprot.
Da diese signierten Anwendungen als Systemkomponenten ausgeführt werden, lassen sie sich nicht über den regulären Deinstallationsprozess von Android entfernen.
Bitdefender begann seine Untersuchung, nachdem die Erkennungstechnologie des Unternehmens eine System-App entdeckt hatte, die heimlich andere Anwendungen installierte und löschte. Weitere Analysen deckten ein umfangreicheres Framework auf, das zusätzliche Module von Command-and-Control-Servern abruft.
Geräteberichte deuten auf Firmware-Probleme hin
Die Forscher fanden Infektionen auf Geräten mit Modellbezeichnungen, die legitimen Herstellern zugeordnet werden, darunter das Doogee S200 X und das Cubot KINGKONG X. Außerdem identifizierten sie Smartphones, die sich als Produkte von Samsung und Apple ausgaben.
Unterdessen beschrieben Besitzer in einem Android-Community-Forum verdächtiges Verhalten, bei dem Anwendungen nach ihrer Entfernung erneut auftauchten.
Ein Besitzer des Doogee Fire 3 Max berichtete, dass ein offizielles Firmware-Update die Infektion eingeführt habe. Seinem Bericht zufolge verschwand die Infektion nach der Wiederherstellung einer älteren Firmware-Version, während sie nach einer erneuten Installation des Updates zurückkehrte.
Einige Nutzer erklärten, dass spätere Herstellerupdates ihre Infektionen beseitigt hätten. Die Hersteller haben jedoch nicht öffentlich erklärt, wie die schädlichen Komponenten in die betroffene Firmware gelangten.
Die Forscher fanden außerdem Firmware, die mit Zertifikaten signiert war, die mit Shenzhen Zediel in Verbindung stehen. Dieser Zusammenhang belegt jedoch keine Beteiligung des Herstellers an der Kampagne.
Scheinbar gewöhnliche Apps erzeugen Werbebetrug
Das Framework der Midnight-Mimosa-Malware verbreitete rund 32 Anwendungen, die als nützliche Werkzeuge getarnt waren. Dazu gehörten Wetter-Apps, Dateimanager, App-Sperren, Programme zur optischen Zeichenerkennung und Audio-Editoren.
Obwohl die Anwendungen funktionsfähig erscheinen, laden einige von ihnen Werbung in unsichtbaren Fenstern oder interagieren automatisch mit Anzeigen.
Dadurch können die Betreiber betrügerische Anzeigenimpressionen und Klicks erzeugen, ohne dass die Smartphone-Besitzer daran beteiligt sind.
Die Malware versucht außerdem, Sicherheitsprüfungen zu umgehen. Bevor sie zusätzliche Software installiert, deaktiviert sie vorübergehend die Google-Play-Store-App.
Laut Bitdefender soll dieses Verhalten verhindern, dass Google Play Protect die Installation erkennt. Anschließend stellt die Malware den Play Store wieder her, um sichtbare Anzeichen der Manipulation zu reduzieren.
Einige Varianten verändern zudem Installationsdatensätze, sodass Anwendungen scheinbar aus Google Play stammen, obwohl sie tatsächlich von der Malware installiert wurden.
Proxy-Modul kann Datenverkehr über infizierte Smartphones weiterleiten
Die Forscher entdeckten eine TCP-Proxy-Komponente innerhalb einer Anwendung namens com.mobile.applock.en, die sich als App-Sperre ausgab.
Die Komponente registriert infizierte Smartphones bei einem entfernten Server. Anschließend kann sie Anweisungen empfangen, Verbindungen zu bestimmten Hosts herzustellen und Datenverkehr über das Gerät weiterzuleiten.
Diese Funktion könnte den Ursprung schädlicher Aktivitäten hinter der Internetverbindung des Smartphone-Besitzers verbergen. Sie könnte außerdem Zugriff auf Systeme ermöglichen, die vom infizierten Gerät aus erreichbar sind.
Die Forscher unterschieden jedoch zwischen dieser technischen Möglichkeit und einer bestätigten Nutzung. Sie überprüften, dass die Kommandoinfrastruktur Registrierungen akzeptierte, doch ihr Testgerät erhielt keine Ziele für die Weiterleitung.
Daher bestätigten ihre Tests keine aktive Weiterleitung von Datenverkehr.
Verwandte Apps erschienen auch bei Google Play
Unabhängig davon identifizierte Bitdefender 13 Google-Play-Anwendungen, die denselben Code für Werbebetrug enthielten und mit bekannter Infrastruktur der Kampagne kommunizierten.
Diesen Apps fehlten die Systemberechtigungen, die erforderlich sind, um andere Software heimlich zu installieren. Dennoch konnten sie Werbung außerhalb ihrer eigenen Benutzeroberflächen anzeigen, auch wenn die Besitzer ihre Smartphones gerade nicht verwendeten.
Die Forscher brachten die Anwendungen mit 13 Signaturzertifikaten und mindestens zwei Entwicklerkonten in Verbindung.
Bei Geräten mit infizierter Firmware behebt die gewöhnliche Deinstallation von Apps das zugrunde liegende Problem nicht. Laut Bitdefender erfordert die Bereinigung entweder Eingriffe auf Firmware-Ebene oder die Deaktivierung der schädlichen Komponente über Android Debug Bridge. Dieser Vorgang kann für technisch weniger versierte Nutzer eine Herausforderung darstellen.
0 Kommentare zu „Midnight-Mimosa-Malware auf günstigen Android-Smartphones vorinstalliert entdeckt“