Vissa billiga Android-smartphones har nått kunder med Midnight Mimosa-skadlig kod inbäddad i sin firmware. Den skadliga programvaran kan installera appar i hemlighet, generera bedräglig annonsaktivitet och förvandla infekterade telefoner till residential proxies.
Bitdefenders forskare identifierade tusentals drabbade enheter i över 150 länder under ungefär två år. Mexiko, Frankrike, Italien, USA, Tyskland, Brasilien och Spanien hade flest drabbade användare.
Forskarna misstänker manipulation i leveranskedjan. De har dock inte kunnat fastställa vem som modifierade firmwaren eller var ingreppet ägde rum.
Skadlig programvara levereras med systembehörigheter
Kampanjen påverkar vissa billiga Android-enheter som använder MediaTek-chipset. De skadliga komponenterna finns i systempartitionen och körs med förhöjda behörigheter.
Därför kan de installera eller ta bort appar, bevilja känsliga behörigheter och köra nedladdad kod utan ägarens medverkan.
Paketen använder också namn som liknar legitima Android-komponenter, bland annat com.android.system.lite, com.android.sys.prot och com.android.sys.gmsprot.
Eftersom dessa signerade appar körs som systemkomponenter kan de inte tas bort genom Androids vanliga avinstallationsprocess.
Bitdefender inledde sin undersökning efter att företagets detekteringsteknik upptäckt en systemapp som i hemlighet installerade och raderade andra appar. Ytterligare analyser avslöjade ett större ramverk som hämtar fler moduler från kommando- och kontrollservrar.
Rapporter om enheter pekar på problem med firmware
Forskarna hittade infektioner på enheter med modellnamn kopplade till legitima tillverkare, bland annat Doogee S200 X och Cubot KINGKONG X. De identifierade också telefoner som utgav sig för att vara Samsung- och Apple-produkter.
Samtidigt beskrev ägare som diskuterade misstänkt beteende på ett Android-communityforum appar som återkom efter att de tagits bort.
En ägare av Doogee Fire 3 Max rapporterade att en officiell firmwareuppdatering introducerade infektionen. Enligt användarens berättelse försvann den när äldre firmware återställdes, medan en ominstallation av uppdateringen gjorde att den kom tillbaka.
Vissa användare uppgav att senare uppdateringar från tillverkarna löste infektionerna. Tillverkarna har dock inte offentligt förklarat hur de skadliga komponenterna hamnade i den drabbade firmwaren.
Forskarna hittade också firmware signerad med certifikat kopplade till Shenzhen Zediel. Den kopplingen bevisar inte att tillverkaren var inblandad i kampanjen.
Till synes vanliga appar genererar annonsbedrägerier
Ramverket för Midnight Mimosa-skadlig kod distribuerade omkring 32 appar som utgav sig för att vara användbara verktyg. Dessa omfattade väderappar, filhanterare, applås, verktyg för optisk teckenigenkänning och ljudredigerare.
Även om apparna verkar fungera normalt laddar vissa av dem annonser i osynliga fönster eller interagerar automatiskt med annonser.
Därmed kan operatörerna generera bedrägliga annonsvisningar och klick utan telefonägarens medverkan.
Den skadliga koden försöker också undvika säkerhetskontroller. Innan ytterligare programvara installeras inaktiverar den tillfälligt appen Google Play Butik.
Enligt Bitdefender syftar detta beteende till att förhindra att Google Play Protect upptäcker installationen. Därefter återställer den skadliga koden Play Butik för att minska synliga tecken på manipulation.
Vissa varianter ändrar också installationsposter så att appar ser ut att komma från Google Play trots att de installerats av den skadliga koden.
Proxymodul kan dirigera trafik genom infekterade telefoner
Forskarna upptäckte en TCP-proxykomponent i en app som utgav sig för att vara ett applås, med namnet com.mobile.applock.en.
Komponenten registrerar infekterade telefoner hos en fjärrserver. Därefter kan den ta emot instruktioner om att ansluta till angivna värdar och vidarebefordra trafik genom enheten.
Denna funktion kan dölja ursprunget till skadlig aktivitet bakom telefonägarens internetanslutning. Den kan också ge åtkomst till system som kan nås från den infekterade telefonen.
Forskarna skiljde dock mellan denna möjlighet och bekräftad användning. De verifierade att kommandoinfrastrukturen accepterade registreringar, men deras testenhet fick inga destinationer för vidarebefordran.
Därför bekräftade deras tester inte någon aktiv vidarebefordran av trafik.
Relaterade appar förekom också på Google Play
Separat identifierade Bitdefender 13 Google Play-appar som innehöll samma kod för annonsbedrägerier och kommunicerade med känd infrastruktur kopplad till kampanjen.
Dessa appar saknade de systembehörigheter som krävs för att installera annan programvara i hemlighet. Trots det kunde de visa annonser utanför sina egna gränssnitt, även när ägarna inte använde sina telefoner.
Forskarna kopplade apparna till 13 signeringscertifikat och minst två utvecklarkonton.
För enheter med infekterad firmware löser vanlig avinstallation av appar inte det underliggande problemet. Bitdefender uppger att åtgärder kräver rensning på firmwarenivå eller inaktivering av den skadliga komponenten via Android Debug Bridge, en process som kan vara svår för mindre tekniskt kunniga användare.
0 svar till ”Skadlig kod från Midnight Mimosa upptäckt förinstallerad på billiga Android-telefoner”