كشفت شركة Bitdefender عن وجود برامج ضارة مدمجة في البرامج الثابتة. Androidالهواتف الذكية التي تعمل بتقنيات MediaTek، والمصنعة في الصين تحت علامات تجارية مختلفة. يركز النشاط الخبيث على استبدال الإعلانات والاحتيال في النقرات، بالإضافة إلى إدارة شبكة من الأجهزة تُشكل شبكة موزعة لشن هجمات DDoS وتوجيه حركة البيانات.
تستهدف هذه البرمجية الخبيثة، الموجودة مسبقًا، بشكل أساسي الأجهزة منخفضة المواصفات مثل Doogee S200 X و Cubot KINGKONG X، ولكنها موجودة أيضًا في أجهزة Samsung Galaxy S25 Ultra و S24 Ultra و Note 18 Ultra المقلدة، بالإضافة إلى الأجهزة المصممة على غرار iPhoneتم الإبلاغ عن الأجهزة المتأثرة في أكثر من 150 دولة، ولكن تم تحديد أكبر عدد منها في المكسيك وفرنسا وإيطاليا والولايات المتحدة وألمانيا والبرازيل وإسبانيا.
تُوزَّع المكونات الخبيثة متخفيةً في هيئة تطبيقات نظامية مثل com.android.system.lite و com.android.sys.gmsprot و com.android.sys.bcprot و com.android.sys.prot. تحمل هذه التطبيقات توقيعًا رقميًا خاصًا بالمنصة، وتعمل بصلاحيات android.uid.system، مما يسمح بتثبيت التطبيقات وإدارة صلاحياتها. يقوم الكود المُدمج في البرامج الثابتة بتنزيل تطبيقات إضافية تُنفِّذ أنشطة خبيثة مباشرةً، ويمنحها صلاحيات إضافية، مثل الوصول إلى الإشعارات والرسائل النصية. تم تحديد 32 تطبيقًا إضافيًا من هذا النوع، تجمع بين وظائف خبيثة ومحرر صوت، وأداة عرض حالة الطقس، ومدير ملفات، وقفل تطبيقات، وتقنية التعرف الضوئي على الأحرف (OCR).
تُدمج الوظائف الخبيثة الرئيسية في مكتبة libeasy.so، التي توفر وظائف لتنزيل وحدات خبيثة إضافية من خوادم خارجية. كما توفر خدمة للتفاعل مع عناصر التحكم. الخوادم تتنكر المكونات الخبيثة في صورة واجهة برمجة تطبيقات لتوقعات الطقس، وهي جزء من قسم النظام، لذا فإن إزالتها تتطلب إعادة برمجة الجهاز أو تعطيل المكونات عبر ADB.
المصدر: opennet.ru
