Хиляди телефони с Android се доставят със скрит зловреден софтуер, който деактивира защитите на Google Play

Установено е, че хиляди телефони с Android в над 150 държави работят със зловреден софтуер, заложен във фърмуера им още преди покупката.

Кампанията, наречена Midnight Mimosa, е насочена към евтини устройства и осигурява на атакуващите системен достъп, без да е необходимо собствениците да изтеглят вредоносно приложение или да кликват върху подозрителна връзка.

Зловредният софтуер може тайно да инсталира и премахва приложения, да зарежда нов код и да генерира фалшива рекламна активност. Преди да инсталира допълнителен зловреден код, той временно деактивира пакета на Google Play Store, след което го възстановява.

Изследователите оценяват това поведение като опит да се избегне откриването от Google Play Protect, а не като доказателство, че всяка защита остава трайно деактивирана.

Изследователи от PolySwarm отбелязаха достъпа на зловредния софтуер на ниво фърмуер в своя доклад за изследването на Midnight Mimosa, публикуван на 19 октомври.

Техният анализ се основава на разследването на Bitdefender, което наблюдава хиляди заразени устройства в продължение на около две години.

В Мексико, Франция и Италия са регистрирани най-голям брой засечени случаи, следвани от Съединените щати, Германия, Бразилия и Испания. Тези данни описват наблюдаваните инфекции, а не потвърдено целенасочено таргетиране.

Хиляди телефони с Android се доставят със скрит зловреден софтуер

Инфекцията започва със злонамерено системно приложение, подписано с сертификат на платформата Android. Тази надеждна позиция му позволява да инсталира пакети, да премахва приложения, да предоставя разрешения и да променя защитени настройки.

Предишни случаи на предварително инсталиран зловреден софтуер на телефони с Android показват защо проверката единствено на изтеглените приложения не може да неутрализира заплахи, които вече са вградени в софтуера на устройството.

Компонентът крие основните си функции в рамките на нейтив библиотека. При зареждане тази библиотека използва криптиране RC4, за да разопакова скрита Java рамка (framework).

След това рамката се свързва със сървъри за управление и контрол (C2), получава настройки и изтегля DEX или JAR плъгини. Това са кодови модули за Android, които позволяват на операторите да променят поведението на зловредния софтуер, без да подменят оригиналното системно приложение.

Различни плъгини отговарят за рекламните измами и тихата инсталация на приложения. Някои генерират фалшиви импресии на реклами, кликвания и конверсии чрез скрити прозорци и автоматизирани действия.

Дейността изглежда произхожда от обикновени инструменти, включително приложения за времето, инструменти за заключване на приложения (app lockers), текстови скенери и файлови мениджъри. Bitdefender идентифицира поне 32 маскирани приложения в рамките на по-широката мрежа за доставка на зловреден код.

Как зловредният софтуер избягва проверките

Временното деактивиране на Play Store създава времеви прозорец за инсталиране на допълнителен софтуер, като същевременно прави опит да избегне откриването. Някои злонамерени приложения също така посочват фалшиво Google Play като свой инсталатор, въпреки че нямат блоковете за подпис, прилагани при разпространение през Play.

Това несъответствие може да помогне на разследващите да отличат заявения източник на инсталация от доказателствата за това как приложението действително е пристигнало.

Тази техника допълва с подробности по-ранните констатации за фърмуера на Midnight Mimosa, които описват как скритият компонент оцелява, докато видимият зловреден код се променя.

Отделно, изследователите откриха 13 свързани приложения за рекламни измами, разпространявани чрез Google Play. Те споделят маркери и инфраструктура със зловредния софтуер, но нямат същия привилегирован достъп като компонента, инсталиран във фърмуера.

Активаторът съдържа също така функции, свързани с разрешения за Достъпност (Accessibility), Достъп до известия (Notification Access) и SMS, включително начини за автоматично активиране на чувствителен достъп.

Изследователите не са наблюдавали тези разрешения да се използват за кражба на данни. Способността за изтегляне на нов код обаче означава, че бъдещото поведение на кампанията не може да бъде преценявано само въз основа на вече проучените рекламни модули.

Друг зловреден код съдържа прокси софтуер, способен да регистрира устройство и да отваря двупосочни TCP тунели. Това би могло да позволи на външен трафик да преминава през интернет връзката на заразения телефон.

Разграничението има значение: изследователите потвърдиха наличието на тази базова възможност, но не са наблюдавали реално препредаване на трафик по време на документираните от тях тестове. Първоначално докладвана крайна точка за управление по-късно също бе идентифицирана като sinkhole.

По-широкият риск наподобява злоупотребата, описана в докладите за злонамерени мрежи от резидентни проксита (residential proxies), при които компрометирани потребителски устройства осигуряват мрежов достъп за други потребители.

Това сравнение не установява непременно връзка между отделните операции. В случая на Midnight Mimosa прокси функционалността би могла да изложи домашни или работни мрежи на трафик, който не е бил упълномощен.

Засегнатите устройства включват евтини телефони, базирани на MediaTek, фалшиви флагмански модели и устройства, съобщаващи идентификатори, свързани с продукти на Doogee и Cubot.

Някои фърмуерни сертификати носят идентификатори, свързани с Shenzhen Zediel. Изследователите не са успели да установят къде зловредният софтуер е навлязъл във веригата за доставки, нито да докажат, че притежателят на сертификата е участвал съзнателно.

Връзките със зловредния софтуер Joker, Phantom и Click също не доказват общ оператор. Премахването на видимо приложение може да остави активатора във фърмуера в състояние да инсталира негови заместители. Поради това изчистването изисква внимание към базовия фърмуер, а не само към отделните компоненти на зловредния код.

От Google поясняват, че проверките за безопасност на приложенията анализират приложенията по време на инсталиране и периодично сканират устройствата, но този случай показва защо доверените системни компоненти също се нуждаят от щателна проверка.

Индикатори за компрометиране (IoCs):-

Източникът изброява тези 40 хеша на образци. Всеки от тях е възпроизведен така, както е публикуван; докладът не съпоставя отделните хешове с конкретни пакети.

Забележка: IP адресите и домейните са умишлено дефанг-нати (напр. [.]), за да се предотврати случайното им резолвиране или превръщане в хипервръзки. Връщайте им оригиналния вид (re-fang) само в контролирани платформи за разузнаване на заплахи, като MISP, VirusTotal или вашата SIEM система.