Компания Bitdefender установи дейността по интегриране на зловреден софтуер в фърмуерите на Android-смартфони на платформи MediaTek, които се произвеждат в Китай под различни марки. Зловредната активност се фокусира върху замяната на реклама и натрупване на кликвания върху реклама, както и на поддържането на ботнет от устройства, формиращо разпределена мрежа за организиране на DDoS-атаки и проксиране на трафика.
Присъстващият от кутията зловреден софтуер е насочен основно към разпространение чрез бюджетни устройства, като Doogee S200 X и Cubot KINGKONG X, но също така се среща в фалшиви копия на Samsung Galaxy (S25 Ultra, S24 Ultra и Note 18 Ultra) и устройства, стилизирани като iPhone. Проблемните устройства са установени в повече от 150 държави, но най-голям брой е открит в Мексико, Франция, Италия, САЩ, Германия, Бразилия и Испания.
Зловредните компоненти се предлагат под формата на системни приложения, като com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot, подписани с цифров подпис на платформата и изпълнявани с права android.uid.system, позволяващи инсталиране на приложения и управление на правомощията. Интегрираният в фърмуера код зарежда допълнителни приложения, в които директно се реализира зловредната активност, и делегира допълнителни правомощия, като достъп до известия и SMS. Установени са 32 подобни приложения, съчетаващи зловредни функции със звуков редактор, виджет за времето, файлов мениджър, блокер на приложения и OCR.
Основната зловредна функционалност е интегрирана в библиотеката libeasy.so, предоставяща функции за зареждане на допълнителни зловредни модули от външни сървъри. Услугата за взаимодействие с управляващите сървъри е маскирана под API за проверка на прогнозите за времето. Тъй като зловредните компоненти са част от системния дял, за тяхното премахване е необходимо да се направи към флашване на устройството или деактивиране на компонентите чрез утилита ADB.
Източник: opennet.ru
