L'azienda Bitdefender ha rilevato attività di integrazione di malware nei firmware degli smartphone Android basati su piattaforme MediaTek, prodotti in Cina sotto vari marchi. L'attività dannosa è concentrata sulla sostituzione della pubblicità e sul click fraud, oltre a mantenere un botnet di dispositivi che formano una rete distribuita per organizzare attacchi DDoS e il proxying del traffico.
Il malware presente di fabbrica è principalmente diffuso attraverso dispositivi economici, come il Doogee S200 X e il Cubot KINGKONG X, ma si trova anche in copie false del Samsung Galaxy (S25 Ultra, S24 Ultra e Note 18 Ultra) e dispositivi stilizzati come iPhone. I dispositivi problematici sono stati registrati in oltre 150 paesi, con il numero maggiore riscontrato in Messico, Francia, Italia, Stati Uniti, Germania, Brasile e Spagna.
I componenti dannosi vengono forniti sotto forma di applicazioni di sistema, come com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot e com.android.sys.prot, firmati con una firma digitale della piattaforma ed eseguiti con i diritti android.uid.system, che consentono l'installazione di applicazioni e la gestione delle autorizzazioni. Il codice integrato nel firmware scarica ulteriori applicazioni, in cui viene implementata direttamente l'attività dannosa, e delega ulteriori autorizzazioni, come l'accesso alle notifiche e agli SMS. Sono stati registrati 32 di queste applicazioni installabili, che combinano funzioni dannose con un editor audio, un widget meteo, un gestore di file, un blocco delle applicazioni e OCR.
La principale funzionalità dannosa è integrata nella libreria libeasy.so, che fornisce funzioni per scaricare ulteriori moduli dannosi da server esterni. Il servizio per interagire con i controllori server è camuffato da API per la verifica delle previsioni del tempo. Poiché i componenti dannosi fanno parte della sezione di sistema, per la loro rimozione è necessaria una reflash del dispositivo o la disattivazione dei componenti tramite l'utility ADB.
Fonte: opennet.ru
