Bezpečnostní společnost Bitdefender odhalila rozsáhlou škodlivou kampaň, při které se malware dostává do chytrých telefonů s Androidem ještě před jejich prodejem koncovým zákazníkům. Napadená zařízení obsahují škodlivý software přímo v systémovém firmwaru, což útočníkům poskytuje mimořádně rozsáhlé možnosti ovládání.
Kampaň označovaná jako Midnight Mimosa se zaměřuje zejména na levné telefony využívající hardwarové platformy MediaTek. Výzkumníci zaznamenali kompromitovaná zařízení různých značek, včetně neznačkových a padělaných modelů napodobujících známé výrobce.
Škodlivá komponenta vystupuje pod systémovým označením com.android.system.lite. Díky vysokým oprávněním může bez vědomí uživatele instalovat a odstraňovat další aplikace, přidělovat jim oprávnění nebo spouštět vzdáleně dodaný kód.
Telefony se mění v součást útočné infrastruktury
Útočníci využívají infikované smartphony především k nelegálnímu získávání příjmů. Malware umožňuje instalovat aplikace používané k reklamním podvodům, při kterých se reklamy zobrazují nebo načítají bez skutečné interakce uživatele.
Dalším významným cílem je proměna telefonu v takzvaný rezidenční proxy server. Internetové připojení zařízení pak může sloužit k přesměrovávání provozu třetích stran, takže jejich aktivita působí jako komunikace běžného domácího uživatele.
Výzkumníci zjistili, že malware může spravovat nejméně 32 různých maskovaných aplikací. Před instalací další škodlivé komponenty navíc dokáže dočasně deaktivovat obchod Google Play, což pravděpodobně omezuje některé ochranné mechanismy.
Bitdefender objevil také 13 aplikací v Google Play, které komunikovaly se stejnou útočnou infrastrukturou. Tyto programy se vydávaly například za nástroje pro počasí, čtení QR kódů nebo práci s textem. V době zveřejnění zprávy již nebyly v obchodě dostupné.
Kampaň byla zaznamenána na tisících zařízení ve více než 150 zemích. Největší koncentrace nakažených telefonů se nacházela v Mexiku, další případy byly identifikovány v evropských zemích, Spojených státech i dalších regionech.
Pro uživatele je situace komplikovaná tím, že předinstalovaný malware nelze obvykle odstranit běžným odinstalováním aplikace. Nachází se totiž v systémovém oddílu zařízení. Účinné odstranění může vyžadovat bezpečnou výměnu firmwaru nebo zásah výrobce.
Incident upozorňuje na bezpečnostní rizika dodavatelského řetězce levné elektroniky. Uživatel může získat napadené zařízení, aniž by sám instaloval jedinou škodlivou aplikaci.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
