Kutatók több ezer olcsó androidos telefonon találtak előre telepített kártevőt, amely csalárd hirdetési bevételt képes generálni, és potenciálisan nagyobb botnetek részévé teheti az eszközöket.
A kampány, amelyet a Romániában működő Bitdefender kiberbiztonsági cég „Midnight Mimosa” néven azonosított, több gyártó olyan telefonjait érinti, amelyek a tajvani MediaTek félvezetőgyártó vállalat chipjeit használják.
A Bitdefender egy riportjában közölte, hogy a kártevő már a szállításkor be van építve az eszköz firmware-jébe. A felhasználó első bekapcsolása előtt is jelen van a készüléken, és nem lehet eltávolítani.
A firmware-be épített kártevő egy rendszeralkalmazás, amely rendszerszintű jogosultságokkal fut. Emiatt a tulajdonos tudta nélkül képes alkalmazásokat telepíteni és eltávolítani, jogosultságokat adni és megvonni, valamint kódot letölteni és futtatni.
A kutatók szerint a kampány elsődleges célja a fertőzött eszközökből származó bevételszerzés reklám- és kattintáscsalás segítségével. A kártevő emellett információkat is gyűjthet az eszközről és a rajta található alkalmazásokról.
A kártevőt világszerte több mint 150 országban figyelték meg. Az érintett eszközök nagy része olcsó, márkajelzés nélküli vagy hamisított készülék, köztük olyan modellek is, amelyek Samsung Galaxy vagy Apple iPhone telefonokra hasonlítanak. Ezek népszerű online piactereken rendelhetők meg, az egyik vizsgált eszköz ára körülbelül 180 dollár volt.
Nem maga a rosszindulatú rendszeralkalmazás végzi a reklámcsalást. Ehelyett hitelesnek tűnő időjárás-, jegyzetelő-, fájlkezelő- és egyéb alkalmazásokat telepít. Ezek az alkalmazások legitim hirdetési szolgáltatásokat használva valódi reklámokat töltenek be, amelyeket láthatatlan ablakokban is képesek megjeleníteni más alkalmazások felett. Így a felhasználó nem látja ezeket a hirdetéseket, a rendszer azonban megjelenített reklámként kezeli őket. Egyes komponensek hamis kattintásokat is képesek generálni.
A Bitdefender legalább 32 ilyen alkalmazást talált. Néhány kártevő telepítése előtt leállítja a Google Play Áruházat, majd a telepítés után újra engedélyezi azt. A kutatók azt feltételezik, hogy ennek célja a Play Áruház biztonsági funkcióinak megkerülése.
A kártevő kódja 13, a Play Áruházban is megtalálható alkalmazásban is megjelent. Ezek nem rendelkeznek rendszerszintű jogosultságokkal, és valódi funkciókat is ellátnak, például időjárás-előrejelzést vagy QR-kód-olvasást. Ennek ellenére képesek reklámokat megjeleníteni akkor is, amikor az eszköz használaton kívül van.
Egyelőre nem sikerült pontosan megállapítani, hogy ki felelős a kártevőért, illetve hogy a gyártási folyamat mely pontján kerül a rendszerbe. Voltak olyan firmware-verziók, amelyek a kínai Shenzhen Zediel okoseszköz- és fogyasztóielektronikai vállalat nevére kiállított tanúsítványokkal voltak aláírva. Ez azonban nem bizonyítja, hogy a vállalat készítette volna a kártevőt, vagy tudatosan részt vett volna annak terjesztésében.
A kutatók szerint a rosszindulatú alkalmazás eredete valószínűleg visszavezethető egy eredeti készülékgyártóra, firmware-integrátorra, logisztikai partnerre vagy más köztes szereplőre.