Pozor na lacné Android telefóny. Skrývajú nebezpečný vírus, zistili experti
Kúpa lacného smartfónu môže priniesť nečakané bezpečnostné riziká. Lacné smartfóny od menej známych čínskych výrobcov môžu predstavovať vážne bezpečnostné riziko. Výskumníci z firmy Bitdefender najnovšie odhalili útočnú kampaň Midnight Mimosa, pri ktorej sú telefóny infikované malvérom už priamo pri kúpe.
Nebezpečný softvér vie získať plnú kontrolu nad zariadením bez akéhokoľvek zásahu zo strany používateľa. Prítomný je od prvého spustenia a zbaviť sa ho je veľmi náročné, v niektorých prípadoch až nemožné. Nevedno, či malvér do telefónov inštalujú priamo výrobcovia, alebo iná firma z dodávateľského reťazca.
Ciele a správanie nebezpečného softvéru
Bezpečnostní výskumníci pri svojej práci odhalili dva rôzne zámery útočníkov, pričom v oboch prípadoch ide o neoprávnené zneužitie zdrojov obete.
Prvým cieľom je priamy finančný zisk prostredníctvom reklamných podvodov. Systémová aplikácia sťahuje dodatočné moduly tváriace sa ako bežné užitočné nástroje, napríklad predpoveď počasia, správca súborov, audio editor či zámok aplikácií. Spomínané appky ponúkajú používateľovi sľúbenú funkcionalitu, no zároveň zobrazujú reklamy v neviditeľnom okne prekrytom cez používateľské rozhranie. Takto umelo generujú zobrazenia a kliknutia na reklamné bannery.
Okrem systémového šírenia sa trinásť príbuzných aplikácií s rovnakým reklamným kódom dostalo aj priamo do oficiálneho obchodu Google Play prostredníctvom vývojárskych účtov fivedev a CPS Developer. V čase písania článku už boli obidva účty zablokované a ich aplikácie stiahnuté.
Druhou a ešte závažnejšou funkciou je premena smartfónu na proxy server. Jeden z distribuovaných modulov zaregistruje infikované zariadenia na riadiacom serveri útočníkov, ktorí cez smartfón obete následne dokážu smerovať vlastnú sieťovú prevádzku. Takýto postup umožňuje kyberzločincom maskovať pôvod svojich útokov alebo získavať prístup k systémom, ktoré sú dostupné len z IP adresy daného zariadenia. Daným spôsobom do svojich činností priamo „zaťahujú“ nič netušiaceho používateľa.
Aktívne sa maskuje
Škodlivý kód bol navrhnutý tak, aby dlhodobo unikal pozornosti používateľa aj vstavaným bezpečnostným nástrojom. V systéme sa ukrýva pod názvami, ktoré verne napodobňujú oficiálne balíčky Androidu, ako napríklad com.android.system.lite či com.android.sys.prot. Vďaka umiestneniu v systémovej časti disponuje najvyššími oprávneniami, čo mu umožňuje potichu inštalovať aj odstraňovať iné aplikácie.
Pri nasadzovaní pomocných modulov malvér využíva premyslený manéver na obídenie kontroly. Tesne pred inštaláciou nežiaduceho softvéru dočasne vyradí z činnosti ochrannú službu Google Play Protect, ktorá by inak neoprávnený zásah zablokovala. Po dokončení inštalačného procesu antivírus opäť zapne. Aby bol podvod lepšie maskovaný, škodlivý softvér dodatočne upravuje systémové metadáta o pôvode aplikácií. Pre operačný systém sa tak nainštalované moduly tvária, akoby boli stiahnuté priamo z oficiálneho Obchodu Play.
Zasiahnuté sú najmä čínske značky
Malvér sa výskumníkom podarilo preukázať predovšetkým na cenovo dostupných zariadeniach s čipsetmi značky MediaTek. Medzi potvrdenými modelmi sa nachádzajú telefóny ako Doogee S200 X, Cubot KingKong X či Doogee Fire 3 Max, pričom infikované boli aj rôzne falzifikáty napodobňujúce smartfóny značiek Apple a Samsung.
Analýza preukázala, že časť kódov je podpísaná certifikátmi čínskej spoločnosti Shenzhen Zediel, hoci jej priama účasť na samotnej kampani zostáva nejasná. Používatelia na fórach ako je XDA Developers uvádzajú, že k infekcii v niektorých prípadoch došlo až po oficiálnej aktualizácii systému, pričom po jeho obnove problémy dočasne prestali.
Z hľadiska rozsahu operácia prebieha približne dva roky a zasiahla viac ako 150 krajín. Najvyšší počet obetí zaznamenali okrem Mexika, Spojených štátov a Brazílie taktiež vo Francúzsku, Taliansku, Nemecku a Španielsku.
Pripomeňme, že podobnej kauze v minulosti čelili aj lacné Android TV zariadenia. Počet nakazených set-top-boxov sa vtedy odhadoval na desiatky miliónov.
Odstránenie hrozby zo zariadenia predstavuje pre používateľa mimoriadny technický problém. Keďže je škodlivý softvér integrovaný priamo v systémovej časti s vysokými právami, bežný postup odinštalovania nefunguje. Náprava vyžaduje buď zásah na úrovni samotného firmvéru od výrobcu, alebo manuálne odstavenie systémových súčastí cez vývojárske rozhranie ADB, čo vyžaduje pokročilé technické znalosti. Podrobný postup výskumníci nepublikovali.
