A Bitdefender vállalat felfedezte a káros szoftverek integrálására irányuló tevékenységet a MediaTek platformokon készült, különböző márkák alatt Kínában gyártott Android okostelefonok firmware-jében. A káros aktivitás főként a reklámok behelyettesítésére és a reklámkattintások manipulálására összpontosít, valamint egy botnet fenntartására az eszközökből, amely egy elosztott hálózatot képez DDoS-támadások és forgalom átirányításának megszervezésére.
A dobozból kiinduló káros szoftver elsősorban olcsó eszközökön terjed, mint például a Doogee S200 X és a Cubot KINGKONG X, de hamis Samsung Galaxy (S25 Ultra, S24 Ultra és Note 18 Ultra) másolatokban, valamint iPhone-stílusú eszközökben is előfordul. A problémás eszközök több mint 150 országban rögzítettek, de a legtöbb Mexikóban, Franciaországban, Olaszországban, az Egyesült Államokban, Németországban, Brazíliában és Spanyolországban található.
A káros összetevők rendszeralkalmazások, például com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot és com.android.sys.prot néven érkeznek, amelyek digitális aláírással rendelkeznek, és android.uid.system jogokkal futnak, lehetővé téve alkalmazások telepítését és jogosultságok kezelését. A firmware-be integrált kód további alkalmazásokat tölt le, amelyekben közvetlenül valósul meg a káros aktivitás, és delegál további jogokat, mint például értesítések és SMS hozzáférés. 32 hasonló kiegészítő alkalmazás került rögzítésre, amelyek a káros funkciókat és hangformáló programot, időjárás-szelvényeket, fájlkezelőt, alkalmazásblokkolót és OCR-t kombinálnak.
A fő káros funkció a libeasy.so könyvtárba van integrálva, amely funkciókat biztosít további káros modulok külső szerverekről való letöltésére. A vezérlőkkel való interakciót szolgáló szerverek API-ra van álcázva az időjárás-előrejelzés ellenőrzéséhez. Mivel a káros összetevők a rendszerpartíció részei, eltávolításukhoz az eszköz átírása vagy a komponensek letiltása szükséges az ADB segédprogram révén.
Forrás: opennet.ru
