Telefon jest zainfekowany, zanim otworzysz pudełko
8 października Bitdefender Labs opisał kampanię o nazwie Midnight Mimosa, działającą na tanich telefonach z Androidem wielu marek, zbudowanych na platformach MediaTek. Malware jest dostarczany w firmware urządzenia, więc jest na telefonie, zanim właściciel włączy go po raz pierwszy, a właściciel nie może go odinstalować.
Jego główny składnik, pakiet systemowy o nazwie com.android.system.lite, działa z uprawnieniami systemowymi. Dzięki temu może po cichu instalować i usuwać aplikacje, nadawać uprawnienia i ładować kod dostarczany zdalnie przez operatorów. Bitdefender znalazł ten sam rdzeń pod innymi nazwami brzmiącymi systemowo, w tym com.android.sys.prot, com.android.sys.gmsprot i com.android.sys.bcprot.
Pieniądze pochodzą z oszustw i z wynajmowania telefonu. Operatorzy prowadzą oszustwa reklamowe i kliknięć, zbierają dane o urządzeniu i aplikacjach oraz zamieniają telefony w węzły proxy rezydencyjnego w botnetach. Aplikacja systemowa sama nie klika reklam: podrzucone aplikacje-przykrywki, takie jak pogoda, blokada aplikacji i narzędzia OCR, ładują prawdziwe reklamy przez legalny pakiet SDK reklamowy w niewidocznym oknie.
Jak daleko się rozeszło
Liczby Bitdefendera opisują kampanię o zasięgu globalnym i silnej obecności w Europie.
| Ustalenie | Liczba |
|---|---|
| Zamaskowane aplikacje partnerskie w rotującej rodzinie | Co najmniej 32 |
| Aplikacje w Google Play powiązane z tymi samymi serwerami | 13, żadna nie jest już do pobrania |
| Okres obserwacji | Około dwóch lat |
| Kraje z wykryciami | Ponad 150 |
| Siedem krajów z największym udziałem urządzeń | Meksyk, Francja, Włochy, Stany Zjednoczone, Niemcy, Brazylia, Hiszpania |
Żaden kraj nie dominuje. Bitdefender odczytuje dwa ośrodki ciężkości, Europę Zachodnią i Amerykę, jako obraz sprzętu krążącego przez międzynarodowe internetowe platformy handlowe, a nie regionalny kanał dystrybucji. Lista krajów w The Hacker News obejmuje też Wielką Brytanię, Kanadę, Rumunię, Polskę i Tajlandię.
Bitdefender nie potrafi powiedzieć, w którym miejscu łańcucha dostaw malware zostaje dodany. Może to być producent kontraktowy, integrator firmware, partner logistyczny albo ktoś dalej w łańcuchu.
Dlaczego zwykłe zabezpieczenia nie działają
Punkt Bitdefendera jest taki, że każda obrona skierowana do użytkownika zakłada, iż właściciel jest obecny przy instalacji: pytanie o instalację, przegląd sklepu, Play Protect i możliwość odinstalowania później. Aplikacja systemowa podpisana przez platformę wyjmuje właściciela z tej pętli, a ta wyłącza Google Play tuż przed instalacją ładunku i włącza go ponownie po niej.
Oczyszczenie zainfekowanego telefonu wymaga czyszczenia na poziomie firmware albo wyłączenia komponentu przez ADB, a Bitdefender uznaje oba za nierealne dla większości właścicieli. Według firmy trwałe rozwiązanie leży po stronie producentów i platform, które dostarczają i sprzedają firmware. Nasza ocena jest taka, że agent zarządzania urządzeniami mobilnymi działa na tym samym firmware, więc nie należy zakładać, że usunie komponent żyjący w partycji systemowej.
Przepisy UE celują w producenta, ale harmonogram zostawia kupujących bez ochrony. Obowiązki zgłaszania w Cyber Resilience Act dotyczące aktywnie wykorzystywanych podatności obowiązują od 11 września 2026, a główne obowiązki od 11 grudnia 2027. Bitdefender nie mówi, czy znalezione telefony sprzedawano w UE legalnymi kanałami, tylko że wykryć jest dużo we Francji, we Włoszech, w Niemczech i w Hiszpanii.
Co wpisać do polityki telefonów
Napisz standard zakupowy: znane marki, opublikowany okres aktualizacji bezpieczeństwa i telefony kupowane od producenta lub autoryzowanego sprzedawcy. Traktuj bardzo tanie imitacje flagowców jako sygnał alarmowy. Bitdefender zauważa, że nazwy modeli takie jak S24 Ultra, S25 Ultra i S26 Ultra pojawiają się jako ciągi modelu zgłaszane przez tani sprzęt MediaTek.
Dla pracowników, którzy używają własnych telefonów, dopuść tylko zatwierdzone modele, a nieznane tanie urządzenia co najwyżej w sieci Wi-Fi dla gości. Jeśli Twoje logi DNS lub zapory da się przeszukiwać, poszukaj hostów sterujących i dostarczających ładunek z listy wskaźników Bitdefendera, api.weatherlive[.]world i oss.showtimetool[.]com, i potraktuj trafienie jako powód do sprawdzenia tego urządzenia.
Nazwa pakietu to wskazówka, a nie test. Bitdefender podkreśla, że nazwy się zmieniają, a liczy się wspólny rdzeń, więc polegaj na sprzęcie, który sam wybrałeś, i logach, które umiesz czytać, a nie na czarnej liście nazw aplikacji.
Czytaj dalej: Google właśnie pomógł sfinansować uzależnienie od dostawcy, któremu miał zapobiec UALink | Motorola kończy monopol Pixela w GrapheneOS
