Goedkope Android-smartphones worden geleverd met voorgeïnstalleerde malware die apparaten omvormt tot residential proxies voor advertentiefraude en app-installaties.
Goedkope Android-smartphones worden geleverd met kwaadaardige software die in de firmware is ingebakken. Deze malware stelt aanvallers in staat om stiekem apps te installeren, advertentiefraude uit te voeren en de apparaten te gebruiken als residential proxies. De malware, die zich richt op Android-apparaten met MediaTek-platforms van verschillende merken, wordt door Bitdefender gevolgd onder de naam Midnight Mimosa.
De voorgeïnstalleerde malware, geïdentificeerd als "com.android.system.lite", draait met systeemrechten. Hierdoor kan het apps installeren en verwijderen, extra permissies toekennen voor toegankelijkheidsdiensten, notificaties en sms, en op afstand aangeleverde code uitvoeren. De malware haalt configuraties op van externe servers en downloadt aanvullende payloads die advertentiefraude faciliteren en partnerapps stilzwijgend installeren of verwijderen. Deze apps bevatten functionaliteiten voor proxygebruik, advertentiefraude en code-uitvoering. De malware kan ook toestemming geven aan willekeurige Android-apps, waardoor de beheerders de apparaten naar eigen wens kunnen aanpassen en inzetten als onderdeel van grote botnets.
Volgens Bitdefender is het hoofddoel van deze operatie het genereren van inkomsten. De beheerders voeren advertentie- en klikfraude uit, verzamelen informatie over apparaten en geïnstalleerde apps, en zetten geïnfecteerde toestellen in als residential-proxy relay nodes, waardoor ze fungeren als zombies binnen botnets. De malware zelf voert geen frauduleuze klikken uit; dit gebeurt via dropper-apps die zich voordoen als onschuldige utility-apps en echte advertenties laden via een legitieme advertentie-SDK. Het doel is om een onzichtbaar venster over apps te tonen dat de vertoonde advertenties registreert.
Bitdefender ontdekte daarnaast 13 apps in de Google Play Store die communiceren met dezelfde servers als de malware, wat aangeeft dat de campagne niet beperkt is tot voorgeïnstalleerde firmware. Een opvallend kenmerk van de malware is dat het de Google Play Store-app uitschakelt voordat een payload-app wordt geïnstalleerd, vermoedelijk om Play Protect te omzeilen, en de app daarna weer inschakelt. De malware is aangetroffen op apparaten met firmware die is ondertekend met certificaten van Shenzhen Zediel Co., Ltd, een Chinese fabrikant van Android-apparaten, hoewel onduidelijk is of deze partij betrokken is bij de malware.
De aanwezigheid van de malware in de firmware wijst op een compromittering van de toeleveringsketen van de apparaten. Bitdefender signaleert ook infrastructuur-overeenkomsten met Android.Phantom, een malware die eerder werd aangetroffen in gemodificeerde games en populaire apps voor klikfraude. De meeste geïnfecteerde apparaten bevinden zich in Mexico, gevolgd door Frankrijk, Italië, de Verenigde Staten, Duitsland, Brazilië, Spanje, het Verenigd Koninkrijk, Canada, Roemenië, Polen en Thailand.
Dit is niet de eerste keer dat een backdoor op firmware-niveau wordt ontdekt die Android-apparaten target. Eerder werd door Kaspersky een malware genaamd Keenadu geïdentificeerd, die op bepaalde tabletmodellen was voorgeïnstalleerd en voornamelijk werd ingezet voor advertentiefraude, zoals beschreven in een rapport over firmware-malware. Bitdefender benadrukt dat voorgeïnstalleerde malware een aparte dreigingscategorie vormt, omdat traditionele gebruikersgerichte beveiligingsmaatregelen ervan uitgaan dat de eigenaar controle heeft over het apparaat.
