Společnost Bitdefender zjistila aktivity zaměřené na integraci škodlivého softwaru do firmware chytrých telefonů Android na platformách MediaTek, které jsou vyráběny v Číně pod různými značkami. Škodlivá činnost se soustředí na vkládání reklam a manipulaci s kliknutími na reklamy, stejně jako na udržování botnetu z zařízení, který vytváří decentralizovanou síť pro organizaci DDoS útoků a pro proxy přenosu dat.
Předinstalovaný škodlivý software se primárně šíří prostřednictvím rozpočtových zařízení, jako jsou Doogee S200 X a Cubot KINGKONG X, ale také se objevuje v padělaných kopiích Samsung Galaxy (S25 Ultra, S24 Ultra a Note 18 Ultra) a na zařízeních stylizovaných jako iPhone. Problémové zařízení byla zaznamenána ve více než 150 zemích, přičemž nejvíce jich bylo identifikováno v Mexiku, Francii, Itálii, USA, Německu, Brazílii a Španělsku.
Škodlivé komponenty jsou dodávány pod záminkou systémových aplikací, jako jsou com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot a com.android.sys.prot, podepsaných digitálním podpisem platformy a vykonávaných s právy android.uid.system, které umožňují instalaci aplikací a správu oprávnění. Kód integrovaný do firmware stahuje další aplikace, ve kterých je přímo implementována škodlivá aktivita, a deleguje další oprávnění, jako je přístup k notifikacím a SMS. Bylo zaznamenáno 32 takových aplikací pro dodatečnou instalaci, kombinujících škodlivé funkce s audio editorem, widgetem počasí, správce souborů, blokátorem aplikací a OCR.
Hlavní škodlivá funkce je integrována do knihovny libeasy.so, která poskytuje funkce pro stahování dalších škodlivých modulů z externích serverů. Služba pro interakci s řídicími servery je zamaskována jako API pro kontrolu předpovědi počasí. Jelikož jsou škodlivé komponenty součástí systémového oddílu, k jejich odstranění je zapotřebí přeprogramování zařízení nebo deaktivace komponentů prostřednictvím utilit ADB.
Zdroj: opennet.ru
