Bitdefender выявила бэкдор в прошивке недорогих Android-смартфонов
Bitdefender обнаружила в прошивках недорогих Android-смартфонов вредоносный компонент com.android.system.lite, который исследователи отслеживают под именем Midnight Mimosa. Он затрагивает устройства на платформах MediaTek нескольких брендов, работает с системными привилегиями и способен устанавливать либо удалять приложения, выдавать разрешения и выполнять код, полученный от операторов.
Кампания позволяет злоумышленникам проводить рекламное мошенничество и превращать смартфоны в узлы резидентских прокси. Bitdefender отмечает, что большая часть выявленных заражённых устройств находится в Мексике; далее в списке идут Франция, Италия, США, Германия, Бразилия, Испания, Великобритания, Канада, Румыния, Польша и Таиланд.
Системные права вместо обычной установки
Вредоносный компонент запрашивает удалённую конфигурацию у внешнего сервера, после чего загружает и запускает дополнительные модули. Эти модули предназначены для рекламного фрода, скрытой установки и удаления партнёрских приложений, а также содержат функции прокси, выполнения кода и выдачи разрешений любому пакету Android.
Сам системный компонент не имитирует клики по рекламе напрямую. По оценке Bitdefender, монетизацию обеспечивают приложения-загрузчики, которые маскируются под безобидные утилиты. Они используют легитимный рекламный SDK, загружают объявления и выводят поверх приложений невидимое окно, фиксирующее показ рекламы.
Связь с Google Play и цепочкой поставок
Исследователи нашли 13 приложений в Google Play, которые связываются с теми же серверами управления, что и Midnight Mimosa. Среди них перечислены пакеты com.audify.editor.wavrge, com.prorestore.qr, com.go.weather.mot, com.dmstudio.weather и picturetranslate.extractor.text.lite. Это указывает, что активность кампании не ограничивается заражённой прошивкой.
Перед установкой полезной нагрузки вредоносное ПО отключает приложение Google Play, а после запуска нагрузки вновь его включает. Bitdefender считает, что такая последовательность, вероятно, нужна для обхода механизмов Play Protect.
Компонент обнаружили на устройствах с прошивками, подписанными сертификатами, которые отнесены к китайскому производителю Android-устройств Shenzhen Zediel Co., Ltd. При этом Bitdefender не установила, был ли владелец сертификата причастен к распространению вредоносного ПО или знал о нём. В ходе расследования встречались и другие названия компаний.
Почему владельцу сложно устранить заражение
Предустановка компонента в системный раздел отличает этот случай от загрузки вредоносного приложения пользователем. Обычное удаление приложений не устраняет корневой компонент: для очистки требуется исправленная прошивка либо отключение через ADB, что недоступно для большинства владельцев таких устройств.
Bitdefender также зафиксировала пересечения инфраструктуры с Android.Phantom, который Doctor Web связывала с модифицированными играми и популярными приложениями для клик-фрода. Устойчивое исправление в этой ситуации зависит от поставщиков устройств, продавцов и выпуска очищенной прошивки. Для бизнеса практический вывод состоит в необходимости проверять происхождение Android-устройств при закупках и учитывать риск прошивки при инвентаризации мобильного парка.