Kúpa lacného telefónu sa nemusí vždy vyplatiť. Tisíce mobilov distribuovali s malvérom vo viac ako 150 krajinách

Niektoré lacné Android telefóny sa predávali s malvérom už priamo vo firmvéri. Majiteľ nemusel nič sťahovať ani povoľovať. Škodlivá systémová aplikácia bola v mobile skôr, než ho prvýkrát zapol.

Bitdefender kampaň pomenoval Midnight Mimosa. Za približne dva roky ju jeho výskumníci zachytili na tisícoch telefónov vo viac ako 150 krajinách.

Najčastejšie išlo o lacné Android zariadenia postavené na platformách MediaTek. Malvér nebežal ako obyčajná aplikácia nainštalovaná používateľom, ale ako súčasť systému. Vďaka tomu mohol do telefónu pridávať ďalšie aplikácie, meniť ich oprávnenia a sťahovať nový kód zo serverov operátorov kampane.

Malvér mohol potichu inštalovať ďalšie aplikácie

V jednej z analyzovaných verzií sa škodlivá súčasť skrývala pod názvom balíka com.android.system.lite. Bitdefender pritom našiel viacero variantov s podobnou úlohou.

Používateľ ju medzi aplikáciami nemusel vôbec vidieť. Nemala klasickú ikonu a bola podpísaná platformovým kľúčom, takže v systéme vystupovala ako jeho vlastná súčasť. Tým získala oprávnenia, ku ktorým sa bežná aplikácia z Google Play nedostane.

Súvisí s tým

Tisíce lacných Android telefónov majú predinštalovaný vírus. Bežným spôsobom ho neodstrániš

Midnight Mimosa tak mohla potichu inštalovať a odstraňovať ďalšie aplikácie, prideľovať im oprávnenia a načítavať ďalší kód zo vzdialených serverov. Majiteľ pritom nemusel potvrdiť inštaláciu ani ručne spustiť súbor.

Do telefónu si bez vedomia majiteľa sťahoval ďalšie aplikácie

Bitdefender počas analýzy našiel približne 32 rôznych aplikácií, ktoré sa cez Midnight Mimosa mohli do telefónov dodatočne dostať. Objavovali sa medzi nimi aplikácie na zamykanie obrazovky, počasie, správu súborov, OCR aj úpravu zvuku.

Nie všetky sa správali ako klasické aplikácie, ktoré používateľ otvorí z plochy. Niektoré mohli bežať na pozadí bez viditeľnej ikony alebo bez toho, aby si ich majiteľ všimol.

Časť z nich slúžila na reklamné podvody. Telefón na pozadí načítaval reklamy a vytváral falošné zobrazenia či kliknutia, hoci používateľ na nič nestlačil. Reklamy nemuseli pochádzať z pochybných sietí. Malvér ich dokázal načítať aj cez legitímne reklamné systémy, no zobrazil ich v skrytom okne.

Cudzia internetová prevádzka mohla ísť cez pripojenie majiteľa telefónu

Jedna z aplikácií, ktoré Midnight Mimosa do telefónu doťahovala, vedela jeho internetové pripojenie ponúknuť ďalej cez sieť rezidenčných proxy.

Cudzia prevádzka tak mohla odchádzať do internetu cez IP adresu majiteľa telefónu. Pre web alebo online službu potom spojenie vyzeralo, akoby prichádzalo z bežnej domácnosti alebo mobilnej siete, nie z infraštruktúry útočníka.

Bitdefender overil, že proxy infraštruktúra prijímala nové telefóny a registrovala ich do siete. Pri vlastnom testovaní však ich zariadenie nedostalo žiadnu konkrétnu úlohu na presmerovanie prevádzky. Výskumníci preto nezachytili, na čo operátori kampane tieto pripojenia reálne používali.

Pri inštalácii ďalších aplikácií si malvér vypínal Google Play

Tesne pred inštaláciou ďalšej aplikácie Midnight Mimosa na chvíľu vypla Obchod Google Play a po dokončení ho znovu zapla.

Bitdefender tento postup spája so snahou vyhnúť sa kontrole cez Google Play Protect. Priamy dôkaz o tom, že operátori vypínali Play práve z tohto dôvodu, však výskumníci nemajú.

Niektoré takto nainštalované aplikácie sa v systéme navyše hlásili tak, akoby prišli z Google Play. Pri kontrole im chýbal kryptografický údaj, ktorý Google pridáva k aplikáciám skutočne distribuovaným cez svoj obchod.

Tisíce infikovaných telefónov našli vo viac ako 150 krajinách

Bitdefender zachytil Midnight Mimosa vo viac ako 150 krajinách. Najviac infikovaných telefónov evidoval v Mexiku, Francúzsku a Taliansku, nasledovali Spojené štáty, Nemecko, Brazília a Španielsko.

Výskumníci jej rozšírenie spájajú s lacnými telefónmi, ktoré sa predávajú globálne cez medzinárodné online trhoviská.

V telemetrii Bitdefenderu tvorili výraznú časť dva modely. Viac ako 11 % zachytených infikovaných zariadení sa hlásilo ako KINGKONG X, ktorý výskumníci spájajú so značkou Cubot. Ďalšie viac ako 4 % niesli označenie S200 X spájané so značkou Doogee.

Objavilo sa aj množstvo lacných white-label telefónov a napodobenín známych modelov. Niektoré sa v systéme hlásili ako S25 Ultra, S26 Ultra či i17 Pro Max, hoci išlo o lacné Android telefóny využívajúce názvy známych vlajkových lodí.

Midnight Mimosa sa objavila aj v 13 aplikáciách z Google Play

Bitdefender našiel spojenie s Midnight Mimosa aj v Google Play. Identifikoval 13 aplikácií, ktoré používali rovnaký kód na reklamné podvody a pripájali sa k infraštruktúre kampane.

Medzi nimi boli aplikácie Wavrge, App Icon DIY, Audify, QR Pocket, All Deleted Messages Recovery, WeatherGo, CoolWeather, Daily Weather, Lock & Hide, QuickText Extractor, NoteMaster, Tap to Translate a Tasky. V Google Play vystupovali napríklad ako nástroje na počasie, úpravu zvuku, obnovu správ, skenovanie QR kódov či zamykanie aplikácií.

Tieto aplikácie nemali systémové oprávnenia firmvérovej verzie Midnight Mimosa a nedokázali si rovnakým spôsobom potichu inštalovať ďalší softvér. Reklamy však vedeli zobrazovať mimo svojho bežného rozhrania a spúšťať ich na pozadí, aj keď používateľ s aplikáciou práve nepracoval.

V Google Play sa v poslednom období objavili aj ďalšie škodlivé aplikácie. Cez aplikáciu z Google Play sa šíril napríklad bankový trójsky kôň Anatsa, ktorý používal odlišný mechanizmus útoku.

Bitdefender nevie, kto pridal malvér do finálneho firmvéru

Pri časti napadnutých telefónov našiel Bitdefender platformový podpis s údajmi odkazujúcimi na Shenzhen Zediel. Rovnaký malvér sa však objavil aj vo firmvéroch podpísaných úplne inými kľúčmi.

Z dostupných dát sa nedá ukázať na jednu firmu. Midnight Mimosa sa mohla do systému dostať pri výrobe telefónu, pri úprave firmvéru alebo pri nahrávaní jeho finálnej verzie pred predajom.

Bitdefender konkrétny bod, v ktorom bol škodlivý kód do firmvéru pridaný, neurčil. Výskumníci nezistili ani to, kto za zásahom do systému stál.

Vymazať aplikácie nestačí, škodlivý komponent zostáva v systéme

Hlavný komponent Midnight Mimosa je uložený v systémovej časti firmvéru. Vymazanie aplikácií, ktoré si malvér neskôr doinštaloval, preto nemusí problém vyriešiť. Systémová súčasť môže v telefóne zostať a stiahnuť ďalší softvér znova.

Škodlivú systémovú aplikáciu možno podľa Bitdefenderu deaktivovať cez ADB. Ďalšou možnosťou je nahrať do telefónu čistý firmvér, v ktorom sa Midnight Mimosa nenachádza.

Google Play Protect môže zachytiť niektoré aplikácie, ktoré malvér do telefónu dodatočne nainštaloval. Komponent uložený priamo vo firmvéri tým z telefónu nezmizne.