Tvrtka Bitdefender otkrila je aktivnosti integracije zlonamjernog softvera u firmware Android pametnih telefona na platformama MediaTek, koji se proizvode u Kini pod raznim brandovima. Zlonamjerna aktivnost fokusira se na zamjenu reklama i povećanje broja klikova na oglase, kao i održavanje botneta iz uređaja koji formira distribuiranu mrežu za organiziranje DDoS napada i proksiranje prometa.
Zlonamjerni softver koji je prisutan od samog početka najčešće se širi putem jeftinih uređaja, kao što su Doogee S200 X i Cubot KINGKONG X, ali se također pojavljuje u lažnim verzijama Samsung Galaxy (S25 Ultra, S24 Ultra i Note 18 Ultra) i uređajima stiliziranim kao iPhone. Problematični uređaji zabilježeni su u više od 150 zemalja, ali najviše ih ima u Meksiku, Francuskoj, Italiji, SAD-u, Njemačkoj, Brazilu i Španiji.
Zlonamjerni komponenti dostavljaju se pod krinkom sistemskih aplikacija, kao što su com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot i com.android.sys.prot, potpisanih digitalnim potpisom platforme i izvršavanih s pravima android.uid.system, koja omogućuju instalaciju aplikacija i upravljanje ovlastima. Kod integriran u firmware preuzima dodatne aplikacije u kojima se izravno provodi zlonamjerna aktivnost i delegira dodatne ovlasti, kao što je pristup obavijestima i SMS porukama. Zabilježeno je 32 takve aplikacije koje kombiniraju zlonamjerne funkcije s audio uređivačem, vremenskim widgetom, upraviteljem datoteka, blokatorom aplikacija i OCR-om.
Osnovna zlonamjerna funkcionalnost integrirana je u biblioteku libeasy.so, koja pruža funkcije za preuzimanje dodatnih zlonamjernih modula s vanjskih poslužitelja. Usluga za interakciju s upravljanjem. poslužiteljima maskira se kao API za provjeru vremenske prognoze. Budući da su zlonamjerni komponenti dio sistemske particije, njihovo uklanjanje zahtijeva ponovnu instalaciju softvera ili isključivanje komponenti putem alata ADB.
Izvor: opennet.ru
