Schadhafter Code in den Firmware-Versionen chinesischer Android-Smartphones mit MediaTek-Chips

Das Unternehmen Bitdefender hat Aktivitäten zur Integration von Malware in die Firmware von Android-Smartphones auf MediaTek-Plattformen entdeckt, die in China unter verschiedenen Marken hergestellt werden. Die bösartige Aktivität konzentriert sich auf die Einfügung von Werbung und die Manipulation von Klicks auf Werbung sowie auf die Aufrechterhaltung eines Botnetzes von Geräten, das ein verteiltes Netzwerk für die Durchführung von DDoS-Angriffen und das Proxieren von Datenverkehr organisiert.

Die vorinstallierte Schadsoftware zielt hauptsächlich auf günstige Geräte ab, wie das Doogee S200 X und das Cubot KINGKONG X, findet sich jedoch auch in gefälschten Kopien des Samsung Galaxy (S25 Ultra, S24 Ultra und Note 18 Ultra) sowie in Geräten, die sich als iPhone ausgeben. Betroffene Geräte wurden in mehr als 150 Ländern festgestellt, wobei die meisten in Mexiko, Frankreich, Italien, den USA, Deutschland, Brasilien und Spanien entdeckt wurden.

Die bösartigen Komponenten werden in Form von Systemanwendungen wie com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot und com.android.sys.prot bereitgestellt, die mit dem digitalen Zertifikat der Plattform signiert sind und mit den Rechten android.uid.system ausgeführt werden, die das Installieren von Anwendungen und das Verwalten von Berechtigungen ermöglichen. Der in die Firmware integrierte Code lädt zusätzliche Anwendungen herunter, in denen die bösartige Aktivität direkt umgesetzt wird, und delegiert zusätzliche Berechtigungen, wie den Zugriff auf Benachrichtigungen und SMS. Es wurden 32 solche nachinstallierbaren Anwendungen festgestellt, die bösartige Funktionen mit einem Audio-Editor, einem Wetter-Widget, einem Dateimanager, einem App-Blocker und OCR kombinieren.

Die hauptsächliche bösartige Funktionalität ist in die Bibliothek libeasy.so integriert, die Funktionen zum Laden zusätzlicher bösartiger Module von externen Servern bereitstellt. Der Service zur Interaktion mit den Steuerungen Servern ist als API zur Überprüfung von Wettervorhersagen getarnt. Da die bösartigen Komponenten Teil des Systembereichs sind, ist zur Entfernung eine Neuinstallation der Firmware des Geräts oder das Deaktivieren der Komponenten über das ADB-Tool erforderlich.

Quelle: opennet.ru