Niektóre tanie telefony z Androidem mają złośliwe oprogramowanie bezpośrednio w systemie, ostrzegają badacze. Nie da się go odinstalować

Kto zamawia telefon za kilka tysięcy z internetowego marketplace, zazwyczaj liczy się z gorszym aparatem lub wolniejszym chipem. Firma zajmująca się bezpieczeństwem Bitdefender ostrzega jednak teraz przed znacznie bardziej nieprzyjemną ceną za niską cenę. Kampania nazwana Midnight Mimosa działa bowiem w ten sposób, że złośliwe oprogramowanie jest w telefonie, zanim właściciel włączy go po raz pierwszy.

Dotknięte są głównie tanie chińskie telefony

Według raportu Bitdefendera, szkodliwy kod ukrywa się w oprogramowaniu układowym tanich urządzeń z chipami MediaTek od wielu producentów. W ciągu około dwóch lat badacze wykryli go na tysiącach telefonów w ponad 150 krajach. Najczęściej w Meksyku, Francji i Włoszech, a za nimi plasują się USA, Niemcy, Brazylia i Hiszpania.

Najwięcej zainfekowanych sztuk zgłaszało się do systemu jako Doogee S200 X i Cubot KingKong X, które są wytrzymałymi telefonami mniej znanych chińskich marek. Można je jednak kupić również w Czechach. Resztę stanowią głównie urządzenia bezmarkowe i podróbki, które udają flagowce. W danych pojawiają się modele takie jak „S25 Ultra”, „S26 Ultra” lub „i17 Pro Max”, które nie mają nic wspólnego z Samsungiem ani Apple.

Kto przemycił złośliwe oprogramowanie do systemu, na razie nie jest jasne. Część zainfekowanego oprogramowania układowego była podpisana certyfikatami chińskiej firmy Shenzhen Zediel, ale Bitdefender podkreśla, że to nie dowodzi jej zaangażowania. Szkodliwy kod mógł się według niego dostać do systemu u producenta, u dostawcy oprogramowania układowego, a także w dowolnym innym miejscu w łańcuchu dostaw.

Podobne doświadczenia dzielą również właściciele na forum XDA. Użytkownicy telefonów Cubot i Doogee opisują tam podejrzane aplikacje, które po usunięciu same wracają. Jeden właściciel Doogee Fire 3 Max twierdzi nawet, że złośliwe oprogramowanie przyniosła mu oficjalna aktualizacja systemu. Po powrocie do starszej wersji podobno zniknęło, a z nową aktualizacją wróciło. Producenci, według serwisu BleepingComputer, na razie publicznie nie wyjaśnili, w jaki sposób szkodliwy kod dostał się do ich oprogramowania układowego.

Co powoduje złośliwe oprogramowanie?

Rdzeniem kampanii są aplikacje, które maskują się jako część Androida. Na liście aplikacji nazywają się po prostu „System” i nie mają ikony. Dzięki uprawnieniom systemowym jednak bez wiedzy właściciela instalują i usuwają inne aplikacje, nadają im uprawnienia i pobierają nowy kod z serwera. Bitdefender naliczył w ten sposób co najmniej 32 zamaskowane aplikacje, które zmieniają się w telefonach – od pogody, przez blokady aplikacji, aż po edytory dźwięku.

Całość ma przede wszystkim zarabiać pieniądze. Podstawione aplikacje wyświetlają reklamy w niewidzialnych oknach i same na nie klikają, więc reklamodawcy płacą za wyświetlenia, których nikt nie widział. Inny moduł zamienia telefon w tak zwane rezydencjalne proxy. Przez twoje połączenie może wtedy przepływać obcy ruch, który na zewnątrz wygląda, jakby pochodził od ciebie, i nadaje się na przykład do maskowania ataków. Badacze zweryfikowali, że serwer kontrolny faktycznie rejestruje nowe urządzenia. Ich testowemu telefonowi jednak nie przydzielił żadnego ruchu do przekierowania.

Złośliwe oprogramowanie próbuje ponadto obejść ochronę Google. Tuż przed instalacją kolejnej aplikacji wyłącza Sklep Play, a wraz z nim kontrolę Google Play Protect, a po instalacji ponownie go włącza. Niektóre warianty dodatkowo udają, że podstawione aplikacje pochodzą z Google Play.

Niepokojący jest również dostęp, który złośliwe oprogramowanie samo sobie włącza. Należą do niego funkcje ułatwień dostępu, czytanie powiadomień i SMS-ów. Bitdefender co prawda nie odnotował, aby operatorzy faktycznie je wykorzystywali, ale z takimi uprawnieniami można czytać zawartość ekranu oraz kody weryfikacyjne z SMS-ów, co jest dokładnie tymi możliwościami, na których opierają się bankowe trojany. Czy operatorzy kiedykolwiek je wykorzystają, zależy tylko od nich.

Ten sam kod reklamowy badacze znaleźli również w 13 aplikacjach w Google Play, które wydawali deweloperzy występujący jako fivedev i CPS Developer. Są to aplikacje pogodowe, czytniki kodów QR, notatniki lub edytory dźwięku. Bez uprawnień systemowych co prawda nie mogą instalować innego oprogramowania, ale reklamy według Bitdefendera wyświetlają się również poza samą aplikacją, nawet wtedy, gdy telefon nie jest używany.

Zwykły użytkownik nie pozbędzie się złośliwego oprogramowania

Zwykłą drogą nie. Złośliwe oprogramowanie znajduje się w partycji systemowej, więc nie da się go odinstalować w ustawieniach. Według Bitdefendera pomoże tylko ingerencja w oprogramowanie układowe lub wyłączenie szkodliwego komponentu przez ADB z komputera, na co większość właścicieli tanich telefonów się nie odważy.

Jeśli masz telefon Doogee, Cubot lub inny tani model nieznanej marki, warto najpierw sprawdzić aktualizacje systemu. Część użytkowników na XDA zgłasza, że producenci w międzyczasie wydali oprogramowanie układowe, które usunęło infekcję. Bardziej doświadczeni użytkownicy mogą szukać w liście aplikacji systemowych pakietów, które wymienia Bitdefender, na przykład com.android.system.lite, com.android.sys.prot lub com.android.sys.gmsprot. Gdy telefon sam z siebie instaluje aplikacje, których nie pobierałeś, lub wyświetla reklamy poza aplikacjami, należy rozważyć jego wymianę.

Czy po tej wiadomości kupiłbyś tani telefon nieznanej marki z internetowego marketplace?

Źródła: Bitdefender, BleepingComputer, Android Authority, XDA