На рынке бюджетных Android-устройств на платформе MediaTek выявлена масштабная кампания по распространению вредоносного ПО, встроенного прямо в прошивку — ещё до продажи устройства. Кампания получила название Midnight Mimosa и была обнаружена и проанализирована компанией Bitdefender.
Когда пользователь впервые включает заражённое устройство, малварь уже присутствует в системе — незаметно и недоступно для обычного удаления. Это системное приложение прошивки с постоянным присутствием, которое невозможно деинсталлировать стандартными средствами.
Возможности малвари
Вредонос работает с привилегиями системного уровня, позволяющими:
- Скрытно устанавливать и удалять приложения
- Выдавать разрешения без участия пользователя
- Загружать и выполнять произвольный код с C2-сервера
- Встраивать устройство в крупные ботнеты
Основные направления использования — рекламное мошенничество, автоматический кликфрод и аренда ботнета другим злоумышленникам. Чем больше ботнет, тем выше его ценность на теневом рынке.
Масштаб распространения
За последние два года Bitdefender зафиксировала тысячи уникальных заражённых устройств в более чем 150 странах. Ни одна страна или регион не доминирует. Лидируют Мексика и Франция, далее следуют Италия, США, Германия, Бразилия и Испания. Регионально выделяются Западная Европа и Америка.
Малварь и в Google Play
Bitdefender обнаружила 13 приложений в Google Play под двумя аккаунтами разработчиков с отдельными сертификатами подписи, содержащих тот же код кликфрода Midnight Mimosa. Хотя эти приложения не имеют привилегий системного уровня, они являются частью более широкой экосистемы кампании.
Особенно примечательна техника обхода Google Play Protect: перед установкой дополнительных нагрузок малварь временно отключает Play Store, устанавливает нужное, затем включает его обратно — тем самым скрывая активность от сканера Google на весь период установки.
Угроза цепочки поставок
Midnight Mimosa представляет собой угрозу цепочки поставок: малварь интегрируется в устройство ещё до его продажи. С момента первого включения атакующие получают полный контроль над устройством — без каких-либо действий со стороны пользователя.
Bitdefender опубликовала обширный список индикаторов компрометации (IoC) для помощи в обнаружении и предотвращении угрозы.
