Telefonen er inficeret, før kassen åbnes
Den 8. oktober rapporterede Bitdefender Labs om en kampagne kaldet Midnight Mimosa, som kører på billige Android-telefoner fra flere mærker bygget på MediaTek-platforme. Malwaren leveres i enhedens firmware, så den er på telefonen, før ejeren tænder den første gang, og ejeren kan ikke afinstallere den.
Dens hovedkomponent, en systempakke kaldet com.android.system.lite, kører med systemrettigheder. Det lader den installere og fjerne apps i det skjulte, give tilladelser og indlæse kode, som operatørerne leverer på afstand. Bitdefender fandt den samme kerne under andre systemagtige navne, blandt andet com.android.sys.prot, com.android.sys.gmsprot og com.android.sys.bcprot.
Pengene kommer fra svindel og fra at leje telefonen ud. Operatørerne begår annonce- og klikbedrageri, indsamler enheds- og appdata og gør telefoner til residentielle proxy-knudepunkter i botnet. Systemappen klikker ikke selv på annoncer: nedkastede dækapps som vejr-, applås- og OCR-værktøjer indlæser ægte annoncer via et legitimt annonce-SDK i et usynligt vindue.
Hvor langt den har bredt sig
Bitdefenders tal beskriver en kampagne med global rækkevidde og stærk europæisk tilstedeværelse.
| Fund | Tal |
|---|---|
| Forklædte partner-apps i den roterende familie | Mindst 32 |
| Apps på Google Play knyttet til de samme servere | 13, ingen kan hentes nu |
| Observationsperiode | Cirka to år |
| Lande med fund | Mere end 150 |
| De syv lande med størst andel af enheder | Mexico, Frankrig, Italien, USA, Tyskland, Brasilien, Spanien |
Intet enkelt land dominerer. Bitdefender læser de to tyngdepunkter, Vesteuropa og Amerika, som det billede, hardware giver, når det bevæger sig gennem internationale onlinemarkedspladser, ikke som en regional distributionskanal. The Hacker News' landeliste omfatter også Storbritannien, Canada, Rumænien, Polen og Thailand.
Bitdefender kan ikke sige, hvor i forsyningskæden malwaren tilføjes. Det kan være en kontraktfremstiller, en firmwareintegrator, en logistikpartner eller en længere nede i kæden.
Hvorfor de sædvanlige kontroller ikke virker
Bitdefenders pointe er, at ethvert brugerrettet forsvar forudsætter, at ejeren er til stede ved installationen: installationsprompten, butikkens gennemgang, Play Protect og muligheden for at afinstallere bagefter. En platformssigneret systemapp tager ejeren ud af den løkke, og denne slår Google Play fra lige før installation af en nyttelast og slår det til igen bagefter.
At rense en ramt telefon kræver en oprydning på firmwareniveau eller at slå komponenten fra via ADB, og Bitdefender kalder ingen af delene realistisk for de fleste ejere. Den varige løsning ligger ifølge selskabet hos de producenter og markedspladser, der leverer og sælger firmwaren. Vores læsning er, at en mobilstyringsagent kører oven på den samme firmware, så man bør ikke regne med, at den kan fjerne en komponent, der bor i systempartitionen.
EU-regler sigter mod producenten, men tidsplanen lader købere stå udsatte. Cyber Resilience Acts indberetningspligter for aktivt udnyttede sårbarheder gælder siden den 11. september 2026, og hovedforpligtelserne fra den 11. december 2027. Bitdefender siger ikke, om de fundne telefoner blev solgt i EU gennem legitime kanaler, kun at fundene er talrige i Frankrig, Italien, Tyskland og Spanien.
Hvad der skal i telefonpolitikken
Skriv en indkøbsstandard: kendte mærker, en offentliggjort periode med sikkerhedsopdateringer og telefoner købt hos producenten eller en autoriseret forhandler. Behandl meget billige efterligninger af topmodeller som et advarselstegn. Bitdefender bemærker, at modelnavne som S24 Ultra, S25 Ultra og S26 Ultra optræder som modelstrenge, billig MediaTek-hardware melder.
For medarbejdere, der medbringer egen telefon, så tillad kun godkendte modeller og højst ukendte billigenheder på gæste-wifi. Hvis jeres DNS- eller firewall-logs kan søges i, så led efter kommando- og nyttelastværterne på Bitdefenders indikatorliste, api.weatherlive[.]world og oss.showtimetool[.]com, og se et match som grund til at inspicere den enhed.
Et pakkenavn er et fingerpeg, ikke en test. Bitdefender understreger, at navnene roterer, og at den fælles kerne er det, der tæller, så stol på hardware, I selv valgte, og logs, I kan læse, ikke på en blokeringsliste over appnavne.
Læs videre: Google hjalp lige med at finansiere den binding, UALink skulle undgå | Motorola bryder GrapheneOS' ti-årige Pixel-monopol
