Malver u firmveru jeftinih Android telefona stvara kućne proksije

Bitdefender je identifikovao kampanju Midnight Mimosa u jeftinim Android telefonima zasnovanim na MediaTek platformama: unapred instalirana komponenta com.android.system.lite ima sistemske privilegije, može da instalira i uklanja aplikacije i zaražene uređaje pretvara u rezidencijalne proksije. Istraživači su takođe pronašli 13 aplikacija na Google Play-u koje komuniciraju sa serverima iste kontrolne infrastrukture.

Sistemske privilegije menjaju prirodu rizika

Komponenta u firmveru preuzima udaljenu konfiguraciju sa spoljnog servera, a zatim može da preuzme i izvrši dodatni kod. Ima mogućnost da sebi dodeli pristup servisima pristupačnosti, obaveštenjima i SMS porukama, kao i da dodeljuje dozvole drugim Android paketima.

Takav položaj u sistemu operaterima omogućava da prilagode uređaj svojim potrebama, uključujući instaliranje i brisanje aplikacija. Bitdefender navodi da se kampanja koristi za prikupljanje podataka o uređajima i instaliranim aplikacijama, oglasne i klik prevare, kao i za korišćenje telefona kao relejnih čvorova rezidencijalne proksi mreže.

Model zarade oslanja se na dodatne aplikacije

Sama ugrađena komponenta ne obavlja lažne klikove. Tu ulogu imaju aplikacije za preuzimanje dodatnog sadržaja, predstavljene kao bezopasni uslužni programi. One koriste legitimni oglasni SDK za učitavanje stvarnih oglasa, dok nevidljivi prozor iznad drugih aplikacija beleži prikazivanje oglasa.

Jedan od zabeleženih postupaka je privremeno onemogućavanje aplikacije Google Play Store pre instaliranja dodatnog tereta, verovatno radi zaobilaženja zaštite Play Protect. Nakon izvršavanja tereta, aplikacija prodavnice se ponovo uključuje.

Problem lanca snabdevanja, a ne korisničke instalacije

Malver je pronađen na uređajima čiji je firmver potpisan sertifikatima pripisanim kompaniji Shenzhen Zediel Co., Ltd. Bitdefender ne navodi da li je vlasnik sertifikata učestvovao u postavljanju malvera ili je za njega znao, a tokom istrage su evidentirana i druga imena kompanija.

Unapred instalirana priroda komponente ukazuje na kompromitovan lanac snabdevanja. Bitdefender je primetio i preklapanja infrastrukture sa Android.Phantom kampanjom koju je Doctor Web povezao sa modifikovanim igrama i popularnim aplikacijama korišćenim za klik prevare.

Najviše zaraženih uređaja nalazi se u Meksiku, a slede Francuska, Italija, SAD, Nemačka, Brazil, Španija, Ujedinjeno Kraljevstvo, Kanada, Rumunija, Poljska i Tajland. Za razliku od uobičajene neželjene aplikacije, komponenta u sistemskoj particiji ne može se ukloniti standardnim postupkom: potrebno je čišćenje na nivou firmvera ili onemogućavanje preko ADB-a, što većini vlasnika nije praktično.

Za poslovanje koje nabavlja Android uređaje praktičan zaključak je da uz cenu i hardverske specifikacije treba proveravati poreklo firmvera, dobavljača i mogućnost pouzdanog ažuriranja, jer trajno otklanjanje ovakvog rizika zavisi od proizvođača i prodajnih kanala.