ТехволнаВ прошивках дешёвых китайских смартфонов нашли вредоносное ПО для скрытой рекламы
Специалисты румынской компании Bitdefender выявили новую угрозу для владельцев недорогих Android-смартфонов. Вредоносное программное обеспечение, получившее имя Midnight Mimosa, было найдено прямо в заводских прошивках устройств, построенных на платформе MediaTek. Главная цель злоумышленников — рекламное мошенничество, но возможности программы оказались шире.
Заражёнными оказались модели вроде Doogee S200 X и Cubot KINGKONG X, а также поддельные копии Samsung Galaxy и iPhone. География распространения обширна: инфицированные устройства зафиксированы более чем в 150 странах. Наибольшее число пострадавших пользователей находится в Мексике, Франции, Италии, США, Германии, Бразилии и Испании.
Вредоносные компоненты умело маскируются под системные приложения с именами com.android.system.lite, com.android.sys.gmsprot и другими похожими. Они подписаны сертификатом платформы, что даёт им высокие привилегии в системе и затрудняет обнаружение. Пользователь вряд ли заподозрит неладное, глядя на такой безобидный список.
Схема обмана рекламных сетей построена на имитации активности. Приложения загружают настоящие объявления через легитимный рекламный SDK, но не показывают их владельцу телефона. Вместо этого они открывают невидимые окна поверх других программ.
Рекламные сети в свою очередь засчитывают такие скрытые показы как реальные просмотры, а в некоторых случаях программа ещё и автоматически кликает по объявлениям, накручивая статистику переходов. Для успешной установки дополнительных вредоносных модулей Midnight Mimosa прибегает к хитрому трюку. Перед загрузкой нового кода он временно отключает Google Play.
Это позволяет обойти встроенную защиту Google Play Protect, которая в обычном режиме могла бы распознать и заблокировать подозрительную активность. Однако функционал Midnight Mimosa не ограничивается одним лишь рекламным фродом. Исследователи обнаружили в его составе TCP-прокси.
Этот инструмент позволяет злоумышленникам направлять свой сетевой трафик через заражённые смартфоны, используя интернет-соединения ничего не подозревающих жертв. Такой доступ может применяться для проведения собственных операций или для продажи устройства в качестве прокси-сервера другим преступникам. В ходе расследования выяснилось, что часть заражённых прошивок подписана цифровыми сертификатами китайской компании Shenzhen Zediel, которая занимается выпуском умной техники и бытовой электроники.
Тем не менее, в Bitdefender подчёркивают, что этот факт не является прямым доказательством причастности Shenzhen Zediel к созданию или распространению вредоносного ПО. По мнению экспертов, вредоносный код мог быть внедрён на самых разных этапах цепочки поставок. К этому мог быть причастен сам производитель устройства, разработчик прошивки, логистический партнёр или какой-либо другой посредник, имевший доступ к программному обеспечению до того, как телефон попал в руки конечного покупателя.
Эта ситуация в очередной раз показывает уязвимость бюджетных устройств, чьи прошивки не проходят столь же строгий контроль безопасности, как у крупных брендов.
