Malware preinstalowany w fabryce na tanich smartfonach z Androidem

Pełny tekst

Tysiące tanich smartfonów z Androidem trafiły do użytkowników z fabrycznie zainstalowanym złośliwym oprogramowaniem . Badacze z firmy Bitdefender odkryli kampanię Midnight Mimosa, w ramach której cyberprzestępcy wykorzystywali telefony do wyświetlania reklam, generowania fałszywych kliknięć i tworzenia botnetów. Malware działa na poziomie systemowym, przez co nie można go usunąć w standardowy sposób.

Złośliwe oprogramowanie ukryte w systemie Android

Jak wynika z raportu Bitdefendera , Midnight Mimosa występuje przede wszystkim na tanich urządzeniach z procesorami MediaTek, w tym smartfonach sprzedawanych pod mało znanymi markami oraz podróbkach popularnych modeli.

Największym problemem jest sposób dystrybucji malware : złośliwe oprogramowanie znajduje się bezpośrednio w firmware urządzenia, więc telefon jest zainfekowany jeszcze przed pierwszym uruchomieniem. Użytkownik nie musi pobierać podejrzanych aplikacji ani otwierać niebezpiecznych linków.

Malware podszywa się pod składnik systemu Android, występując m.in. pod nazwą „System”. Badacze zidentyfikowali również pakiety oznaczone jako com.android.system.lite, com.android.sys.prot czy com.android.sys.gmsprot.

Dzięki uprawnieniom systemowym oprogramowanie może samodzielnie instalować i usuwać aplikacje , przyznawać im uprawnienia oraz pobierać dodatkowy kod z serwerów cyberprzestępców.

Podczas instalowania kolejnych komponentów potrafi też tymczasowo wyłączać Sklep Google Play, aby utrudnić wykrycie zagrożenia przez Play Protect .

Tysiące zainfekowanych telefonów. Na liście również podróbki Galaxy

Według Bitdefendera kampania objęła tysiące urządzeń w ponad 150 krajach. Najwięcej przypadków wykryto w Meksyku, Francji i Włoszech, ale zainfekowane smartfony odnotowano również w Stanach Zjednoczonych, Niemczech, Hiszpani i Polsce.

Wśród urządzeń powiązanych z kampanią znalazły się m.in. Doogee S200 X i Cubot KINGKONG X. Badacze natrafili także na telefony podszywające się pod flagowe modele Samsunga, w tym Galaxy S24 Ultra, S25 Ultra i S26 Ultra. Nie chodzi jednak o oryginalne urządzenia południowokoreańskiego producenta, lecz tanie podróbki wykorzystujące ich nazwy .

Głównym celem Midnight Mimosa jest zarabianie na nieuczciwych działaniach reklamowych. Zainfekowane smartfony mogą w tle wyświetlać reklamy i generować fałszywe kliknięcia, za które operatorzy kampanii otrzymują wynagrodzenie.

To jednak nie wszystko. Malware pozwala również wykorzystywać telefony jako serwery pośredniczące , przez które przestępcy mogą przekierowywać ruch internetowy. W ten sposób urządzenia stają się częścią botnetu i mogą być wykorzystywane do kolejnych ataków.

Badacze ustalili też, że złośliwe oprogramowanie może uzyskać dostęp do powiadomień, SMS-ów i funkcji ułatwień dostępu. Nie zaobserwowali wykorzystania tych uprawnień do kradzieży danych podczas analizy, ale sam zakres dostępnych możliwości budzi poważne obawy.

Przeczytaj też: Jak włączyć roaming w telefonie? Prosty poradnik krok po kroku

Oto jak sprawdzić, czy telefon jest zainfekowany

Wykrycie Midnight Mimosa nie jest proste; malware działa bowiem jako składnik systemu, a jego usunięcie za pomocą standardowego menedżera aplikacji jest niemożliwe. Potrafi on też ukrywać swoją aktywność przed tradycyjnymi mechanizmami ochrony.

Jednym z sygnałów ostrzegawczych może być obecność podejrzanych pakietów systemowych, takich jak com.android.system.lite czy com.android.sys.bcprot. Ich identyfikacja wymaga jednak sprawdzenia nazw pakietów aplikacji, a samo podobieństwo nazwy nie przesądza jeszcze o infekcji.

Osoby podejrzewające, że korzystają z zainfekowanego urządzenia , powinny unikać używania go do bankowości, logowania na ważne konta czy przechowywania poufnych danych.

W przypadku potwierdzonej infekcji najbezpieczniejszym rozwiązaniem może okazać się wymiana telefonu lub instalacja zaufanego, czystego oprogramowania producenta, o ile jest dostępne. Zwykły reset do ustawień fabrycznych może nie wystarczyć, ponieważ malware znajduje się w firmware.

Bitdefender zwraca również uwagę na kolejny problem: 13 aplikacji powiązanych z tą samą kampanią było dostępnych w Google Play . Nie miały one jednak takich uprawnień jak złośliwe komponenty instalowane fabrycznie.

Źródło: PhoneArena. Zdjęcie otwierające: Pakin / Adobe Stock, Krzysztof Wilamowski / Android.com.pl (montaż własny)

Artykuł Niebezpieczny malware na nowych smartfonach Android. Był instalowany w fabryce pochodzi z serwisu ANDROID.COM.PL - społeczność entuzjastów technologii .