Bitdefender обнаружила вредоносное ПО в прошивках бюджетных Android-смартфонов

Румынская компания Bitdefender обнаружила вредоносное программное обеспечение в прошивках китайских Android-смартфонов на базе чипов MediaTek. Кампания получила название Midnight Mimosa. Вредоносные компоненты предустановлены на устройства ещё до продажи и используются главным образом для рекламного мошенничества.

Заражённые устройства нашли более чем в 150 странах. Наибольшее число случаев исследователи зафиксировали в Мексике, Франции, Италии, США, Германии, Бразилии и Испании. Среди упомянутых моделей — бюджетные Doogee S200 X и Cubot KINGKONG X, а также поддельные смартфоны, стилизованные под Samsung Galaxy и iPhone.

Как работает вредоносная прошивка

Компоненты Midnight Mimosa маскируются под системные приложения. Bitdefender обнаружила пакеты com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot. Они подписаны сертификатом платформы, поэтому могут выглядеть для операционной системы как доверенные системные элементы.

Основная схема связана с подменой рекламных показов. Вредоносные приложения используют настоящий рекламный SDK и загружают реальные объявления, но не отображают их владельцу смартфона. Вместо этого они создают невидимые окна поверх других приложений. Рекламные сети могут засчитывать такие скрытые показы как обычные, хотя пользователь их не видит.

Некоторые модули дополнительно автоматически нажимают на рекламные объявления. Это искусственно увеличивает число кликов и доход злоумышленников. Таким образом, вредоносное ПО одновременно расходует ресурсы заражённого устройства, генерирует фиктивную активность в рекламных сетях и остаётся незаметным для владельца.

Отключение защиты и использование смартфонов как прокси

По данным исследователей, перед установкой дополнительных вредоносных модулей Midnight Mimosa временно отключает Google Play. Такой шаг помогает обойти проверку Google Play Protect и затрудняет обнаружение последующих компонентов на устройстве.

В составе кампании также нашли TCP-прокси. С его помощью злоумышленники могут направлять интернет-трафик через заражённые смартфоны, используя подключения владельцев для собственных операций. Доступ к таким устройствам может предоставляться и другим преступникам в качестве прокси-сервиса.

Часть заражённых прошивок подписана сертификатами китайской компании Shenzhen Zediel, выпускающей умную технику и бытовую электронику. Bitdefender подчёркивает, что наличие сертификата само по себе не свидетельствует о причастности компании к созданию или распространению вредоносного ПО. По версии исследователей, вредоносные компоненты могли попасть в прошивку на этапе производства устройства, разработки программного обеспечения, логистики или через другого посредника.