Nekateri poceni telefoni z operacijskim sistemom Android imajo zlonamerno programsko opremo vgrajeno že v sistemsko programsko opremo. Okuženi so torej še preden kupec napravo prvič vklopi, namesti aplikacijo ali se prijavi v svoj uporabniški račun. Ker škodljiva komponenta deluje kot del sistema, je uporabnik ne more preprosto odstraniti.
Varnostni raziskovalci podjetja Bitdefender so kampanjo poimenovali Midnight Mimosa. Zlonamerno programsko opremo so odkrili predvsem v poceni napravah različnih blagovnih znamk, izdelanih na platformah MediaTek.
Raziskovalci so v približno dveh letih njeno delovanje zaznali na več tisoč napravah v več kot 150 državah. Največ zaznav so zabeležili v Mehiki, Franciji in Italiji, sledile so ZDA, Nemčija, Brazilija in Španija.
Zlonamerna aplikacija ima sistemske pravice
Jedro okužbe je sistemska aplikacija, ki je uporabnik ne more odstraniti. Ima dovolj široke pravice, da lahko brez njegove vednosti namešča in odstranjuje druge aplikacije, jim dodeljuje dovoljenja ter s strežnikov napadalcev prenaša dodatno programsko kodo.
Po ugotovitvah Bitdefenderja je glavni namen kampanje služenje denarja z oglaševalskimi prevarami in samodejnimi kliki. Okužene naprave lahko prikrito nameščajo aplikacije, ki so videti kot vremenska napoved, zaklepanje aplikacij, upravljalnik datotek, beležka ali orodje za prepoznavanje besedila.
Oglasi se lahko nalagajo v nevidnih oknih, sistem pa jih kljub temu zabeleži kot prikazane ali kliknjene. Raziskovalci so odkrili najmanj 32 različnih prikritih aplikacij, ki jih je zlonamerna sistemska komponenta nameščala in odstranjevala.
Nekateri okuženi telefoni so bili uporabljeni tudi kot posredniške točke za internetni promet. Napadalci lahko prek povezave uporabnika preusmerjajo tuj promet in napravo tako vključijo v večje omrežje okuženih naprav oziroma botnet.
Imena posnemajo prestižne telefone
Veliko prizadetih naprav je bilo poceni, brez jasno prepoznavnega proizvajalca ali pa so posnemale bolj znane telefone. Nekatere so se predstavljale z imeni, kot so “S24 Ultra”, “S25 Ultra” ali “i17 Pro Max”, čeprav niso bile izdelki Samsunga ali Appla.
Bitdefender poudarja, da to ne pomeni, da so okuženi vsi cenovno dostopni telefoni z Androidom. Večja previdnost je potrebna predvsem pri sumljivo poceni napravah neznanega izvora, nejasnih podatkih o proizvajalcu in spletnih ponudbah, v katerih se telefon predstavlja kot najnovejši premijski model za le del običajne cene.
Raziskovalci še niso ugotovili, na kateri stopnji dobavne verige je bila zlonamerna koda vključena v sistemsko programsko opremo. Dodal bi jo lahko proizvajalec naprave, pripravljavec programske opreme, logistični partner ali drug posrednik.
Tovarniška ponastavitev morda ne pomaga
Med možnimi opozorilnimi znaki so aplikacije, ki jih uporabnik ni namestil, oglasi čez druge aplikacije, nenavadno velika poraba mobilnih podatkov, hitro praznjenje baterije, pregrevanje in nenavadno vklapljanje ali izklapljanje trgovine Google Play. Posamezen znak še ni dokaz okužbe, je pa razlog za dodatno preverjanje.
Uporabniki lahko v nastavitvah preverijo datum zadnje varnostne posodobitve in ali ima naprava certifikat Google Play Protect. Telefon je smiselno pregledati tudi z zaupanja vrednim varnostnim programom.
Ker je Midnight Mimosa vdelana v sistemsko programsko opremo, običajna odstranitev aplikacij ali tovarniška ponastavitev morda ne bo odpravila okužbe. Bitdefender uporabnikom sumljivih naprav svetuje, naj jih ne uporabljajo za spletno bančništvo, potrjevanje prijav ali hranjenje občutljivih dokumentov. Obrnejo naj se na prodajalca oziroma proizvajalca ter zahtevajo zamenjavo ali vračilo denarja.
