Bitdefender har identificeret aktiviteter relateret til integration af skadelig software i firmware til Android-smartphones på MediaTek-platforme, der produceres i Kina under forskellige mærker. Den skadelige aktivitet er fokuseret på reklameindskud og kliksvindel, samt opretholdelse af et botnet af enheder, der danner et distribueret netværk til organisering af DDoS-angreb og proxiering af trafik.
Den forudinstallerede skadelig software fokuserer primært på at sprede sig gennem budgetenheder, såsom Doogee S200 X og Cubot KINGKONG X, men ses også i falske kopier af Samsung Galaxy (S25 Ultra, S24 Ultra og Note 18 Ultra) samt i enheder, der ligner iPhone. De problematiske enheder er blevet registreret i mere end 150 lande, men det største antal er registreret i Mexico, Frankrig, Italien, USA, Tyskland, Brasilien og Spanien.
De skadelige komponenter leveres som systemapplikationer, såsom com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot og com.android.sys.prot, underskrevet med en digital signatur fra platformen og udføres med rettighederne android.uid.system, som tillader installation af applikationer og styring af beføjelser. Koden integreret i firmwaren downloader ekstra applikationer, hvor den skadelige aktivitet reelt implementeres, og delegerer yderligere beføjelser, såsom adgang til meddelelser og SMS. Der er registreret 32 sådanne sekundært installerede applikationer, der kombinerer skadelige funktioner med en lydredigerer, et vejr-widget, en filhåndtering, en app-blokker og OCR.
Den primære skadelige funktionalitet er integreret i biblioteket libeasy.so, der tilbyder funktioner til downloading af ekstra skadelige moduler fra eksterne servere. Tjenesten til interaktion med styrende servere er camoufleret som et API til at tjekke vejrudsigten. Da de skadelige komponenter er en del af det systemmæssige område, kræves det at geninstallere enheden eller deaktivere komponenterne via ADB-værktøjet for at fjerne dem.
Kilde: opennet.ru
