Bitdefender викрив зловмисну кампанію Midnight Mimosa націлену на бюджетні Android-смартфони

Дослідники компанії Bitdefender виявили масштабну зловмисну кампанію під назвою Midnight Mimosa, у межах якої бюджетні Android-смартфони на базі процесорів MediaTek постачаються із заздалегідь установленим шкідливим програмним забезпеченням безпосередньо у прошивці.    Шкідливе програмне забезпечення інтегрується у систему до моменту першого ввімкнення пристрою користувачем і не підлягає видаленню стандартними засобами. Головним елементом інфекційного ланцюга є системна програма з привілеями рівня android.uid.system, яка маскується під легітимні компоненти операційної системи. Першим ідентифікованим пакетом став com.android.system.lite, проте аналітики з'ясували, що це ж ядро поставляється під іншими назвами, включаючи com.android.sys.prot, com.android.sys.gmsprot та com.android.sys.bcprot.   Завдяки системним правам загроза здатна у фоновому режимі завантажувати, встановлювати та видаляти сторонній код, надавати розширені дозволи та приховувати свою діяльність. Для обходу вбудованих захисних механізмів модуль тимчасово вимикає службу Google Play Protect шляхом призупинення роботи пакета com.android.vending безпосередньо перед установкою шкідливого вмісту, після чого відновлює її функціонування. Також зловмисники підробляють джерело походження програм, зазначаючи у системній системі маніфесту магазин Google Play, попри відсутність криптографічного підпису frosting.   Основними векторами монетизації кампанії є генерація фальшивих кліків по рекламі та перетворення пристроїв на вузли проксі-мереж для участі у DDoS-атаках. Для реалізації рекламного шахрайства системний компонент непомітно завантажує спеціальні додатки-прикриття, серед яких погодні інформери, утиліти блокування програм, нотатники та сканери документів. Ці додатки містять офіційні рекламні SDK та створюють невидимі віконні перекриття для реєстрації показових кліків. Дослідники також виявили 13 додатків у магазині Google Play, які взаємодіяли з тими ж серверами управління, що й основне шкідливе програмне забезпечення.   Географія поширення кампанії Midnight Mimosa охоплює понад 150 країн, а найбільша концентрація зафіксована у Франції, Італії, Мексиці, США, Німеччині, Бразилії та Іспанії. За даними Bitdefender, шкідлива прошивка поставляється переважно на дешевих смартфонах та контрафактних копіях флагманських моделей, що продаються через міжнародні онлайн-майданчики під назвами S24 Ultra, S25 Ultra, S26 Ultra або i17 Pro Max. Частина аналізованих пристроїв мала цифрові сертифікати, пов'язані з компанією Shenzhen Zediel, проте точний етап ланцюга постачання, на якому відбулося впровадження коду у прошивку, наразі залишається нез'ясованим.   Кампанія Midnight Mimosa підкреслює зростаючу загрозу компрометації ланцюгів постачання у сегменті бюджетних мобільних пристроїв. Прагнення виробників ноу-нейм брендів та контрафактної продукції максимально знизити собівартість апаратного забезпечення створює економічний стимул для монетизації пристроїв за рахунок предустановленого шкідливого програмного забезпечення. Використання системного рівня доступу дає операторам повний контроль над пристроєм, перетворюючи його на потенційний інструмент для кіберзлочинів без відома власника.   Головним ризиком для екосистеми є дискредитація базових механізмів довіри Android. Можливість шкідливого коду блокувати роботу Google Play Protect, самостійно видавати собі дозволи на доступ до спеціальних можливостей (Accessibility Services) та підробляти джерела встановлення додатків нівелює стандартні рівні захисту операційної системи. Це змушує розробників засобів кібербезпеки переходити від статичного аналізу файлів до постійного поведінкового моніторингу за допомогою систем машинного навчання безпосередньо на пристроях.

Як безпечно перейти до системного та керованого використання ChatGPT Business