Tisíce lacných Android telefónov majú predinštalovaný vírus. Bežným spôsobom ho neodstrániš

Bezpečnostní výskumníci Bitdefenderu narazili na nepríjemný problém v lacných Android telefónoch postavených na platformách MediaTek. Na tisícoch zariadení našli malvér, ktorý sa do nich nedostal cez podvodnú aplikáciu ani škodlivý odkaz. Bol tam už z výroby.

Kampaň dostala názov Midnight Mimosa. Škodlivý komponent je súčasťou firmvéru, beží so systémovými oprávneniami a používateľ ho bežným spôsobom neodinštaluje. Telefón tak môže byť kompromitovaný ešte predtým, než si doň majiteľ stihne nainštalovať prvú aplikáciu.

Bitdefender vo svojom technickom rozbore kampane Midnight Mimosa uvádza, že rodinu malvéru počas približne dvoch rokov zachytil na tisícoch zariadení vo viac ako 150 krajinách.

Malvér bol súčasťou systému, používateľ ho do telefónu nepridal

Bitdefender našiel škodlivý komponent priamo medzi systémovými aplikáciami. Bol podpísaný platformovým kľúčom a bežal s právami systémového používateľa, teda s oprávneniami, ku ktorým sa obyčajná aplikácia nedostane.

Jeden z variantov používal názov com.android.system.lite. Rovnaké jadro však výskumníci našli aj pod ďalšími názvami, ktoré na prvý pohľad vyzerajú ako legitímne súčasti Androidu. Aplikácia navyše nemá ikonu v launcheri, takže majiteľ telefónu o jej prítomnosti nemusí vôbec vedieť.

Súvisí s tým

Cez služby prístupnosti sa môže hacker dostať k tvojmu bankovníctvu. Takto zistíš, ktoré aplikácie v tvojom telefóne majú tento prístup povolený

Systémové práva jej umožňujú potichu inštalovať a mazať ďalšie aplikácie, udeľovať im oprávnenia a načítavať nový kód zo serverov operátorov. Práve cez tento mechanizmus sa do zariadení dostávali ďalšie moduly kampane.

V manifeste sa objavili aj oprávnenia pre Accessibility Services, prístup k upozorneniam a SMS správam. Bitdefender ich aktívne zneužitie počas analýzy nezachytil, takže z výskumu nemožno tvrdiť, že Midnight Mimosa používateľom čítala SMS alebo obsah obrazovky. Operátori však takúto možnosť v systéme mali pripravenú.

Falošné reklamy a kliknutia zarábali peniaze bez vedomia majiteľa

Midnight Mimosa si do telefónu sťahovala ďalšie aplikácie, ktoré navonok vyzerali ako počasie, AppLock, poznámky, OCR, správca súborov či nástroj na úpravu zvuku. Bitdefender ich napočítal najmenej 32.

Niektoré z nich mali jedinú úlohu a to vyrábať falošné reklamné zobrazenia a kliknutia. Výskumníci v kóde našli aj nastavenia, ktoré určovali, ako často sa má klik vykonať, kam má smerovať a koľko takýchto interakcií systém za určitý čas vytvorí.

Aplikácie sa pritom v zariadení striedali. Systémový komponent ich nainštaloval, nechal chvíľu bežať a neskôr odstránil, pričom mohol nasadiť inú. Operátori tak menili spôsob, akým z telefónu zarábali, a zároveň sťažovali sledovanie jednotlivých payloadov.

Pri inštalácii išli ešte ďalej. Malvér pred nasadením payloadu dočasne vypol Google Play Store, teda balík com.android.vending. Bitdefender predpokladá, že cieľom bolo obmedziť zásah Play Protectu. Po inštalácii Obchod Play znova zapol, pričom kód obsahoval aj mechanizmus, ktorý ho aktivoval pri prítomnosti používateľa.

Infikovaný telefón môže posielať cudziu prevádzku cez tvoju IP adresu

Bitdefender našiel medzi nasadzovanými modulmi aj aplikáciu com.mobile.applock.en, ktorá z telefónu robila residential proxy. Zariadenie sa po pripojení k riadiacemu serveru zaregistrovalo ako uzol a čakalo na pokyny, kam má presmerovať prevádzku.

Server mu mohol poslať konkrétnu adresu a port. Telefón následne vytvoril spojenie s cieľom a prenášal dáta oboma smermi cez pripojenie svojho majiteľa.

Pre cieľovú službu potom prevádzka prichádzala z IP adresy bežného používateľa, nie zo servera v dátovom centre. Práve preto sú takéto zariadenia zaujímavé pre prevádzkovateľov proxy sietí.

Výsledkom je telefón, ktorý môže bez vedomia majiteľa fungovať ako vzdialene ovládaný uzol cudzej siete a prenášať dáta, s ktorými jeho používateľ nemá nič spoločné.

Malvér sa dostal do telefónov predávaných po celom svete

Bitdefender zaznamenal Midnight Mimosa počas približne dvoch rokov na tisícoch zariadení vo viac než 150 krajinách. Najviac prípadov pochádzalo z Mexika, Francúzska a Talianska, nasledovali Spojené štáty, Nemecko, Brazília a Španielsko.

Infikované telefóny sa objavili aj v Afrike, juhovýchodnej Ázii či na Blízkom východe. Bitdefender preto spája ich rozšírenie najmä s lacným hardvérom, ktorý sa predáva cez medzinárodné online trhoviská.

Falošné „S24 Ultra“ a „i17 Pro Max“ sa objavili aj medzi infikovanými zariadeniami

V dátach Bitdefenderu sa objavovali názvy ako S24 Ultra, S25 Ultra či S26 Ultra, no pri bližšom pohľade nešlo o originálne Samsungy. Lacné MediaTek zariadenia sa za známe modely jednoducho vydávali.

Podobne to bolo s názvami i17 Pro Max, i16 Pro Max či 17 Pro Max. Výskumníci narazili aj na telefóny, ktoré hlásili modelové kódy podobné tým, aké používa Samsung, hoci so Samsungom nemali nič spoločné.

V telemetrii sa však objavili aj reálne modely. Medzi najčastejšie patrili Doogee S200 X a Cubot KINGKONG X. Bitdefender ich uvádza ako zariadenia, na ktorých Midnight Mimosa zachytil, nie ako dôkaz, že malvér obsahuje každý predaný kus týchto modelov.

Stopa vedie k firmvéru podpísanému menom Shenzhen Zediel

Na časti zariadení bol firmvér podpísaný certifikátmi s menom Shenzhen Zediel. Bitdefender však upozorňuje, že z toho nemožno vyvodiť, že firma malvér vytvorila alebo ho do telefónov vedome vložila.

Bitdefender tiež nevie, v ktorej fáze sa škodlivý komponent dostal do ROM. Mohlo k tomu dôjsť už u ODM výrobcu, pri úprave firmvéru alebo neskôr pri distribúcii zariadení.

Rovnaký malvér sa navyše objavil aj na telefónoch, ktorých firmvér certifikátom Zediel podpísaný nebol.

Midnight Mimosa sa nedá odstrániť ako bežná aplikácia

Škodlivý komponent je súčasťou systémovej partície, takže ho z telefónu neodstrániš ako obyčajnú aplikáciu.

Bitdefender uvádza, že škodlivý komponent sa dá odstrániť prehraním firmvéru čistou verziou alebo vypnúť cez ADB. Pri takomto type infekcie teda nestačí obyčajné odinštalovanie aplikácie.

Rovnaký ad-fraud kód našli aj v 13 aplikáciách z Google Play

Bitdefender našiel aj 13 aplikácií distribuovaných cez Google Play, ktoré používali rovnaký ad-fraud kód a komunikovali s rovnakou infraštruktúrou. Išlo napríklad o aplikácie na úpravu zvuku, QR nástroje, obnovovanie správ, počasie, poznámky či OCR.

Na rozdiel od komponentu zabudovaného vo firmvéri však nemali systémové privilégiá. Nemohli preto potichu inštalovať ďalšie aplikácie ani im udeľovať oprávnenia.

Reklamy dokázali zobrazovať aj mimo vlastného rozhrania a niekedy aj v čase, keď používateľ telefón vôbec nepoužíval. Bitdefender pritom našiel rovnaký ad-fraud kód v aplikáciách z Google Play aj vo firmvéri lacných zariadení.