Bitdefender har upptÀckt aktiviteter relaterade till integrering av skadlig programvara i firmware för Android-smartphones som tillverkas av MediaTek i Kina under olika varumÀrken. Den skadliga aktiviteten fokuserar pÄ reklaminsÀttning och klickfusk, samt upprÀttande av ett botnÀt av enheter som bildar ett distribuerat nÀtverk för DDoS-attacker och trafikproxying.
Den förinstallerade skadliga programvaran riktar sig frÀmst mot budgetenheter, som Doogee S200 X och Cubot KINGKONG X, men förekommer ocksÄ i falska kopior av Samsung Galaxy (S25 Ultra, S24 Ultra och Note 18 Ultra) samt enheter som imiterar iPhone. Problematiska enheter har registrerats i över 150 lÀnder, med flest fall i Mexiko, Frankrike, Italien, USA, Tyskland, Brasilien och Spanien.
De skadliga komponenterna levereras i form av systemapplikationer, sÄsom com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot och com.android.sys.prot, som Àr signerade med plattformens digitala signatur och körs med rÀttigheterna android.uid.system som möjliggör installation av applikationer och hantering av behörigheter. Koden integrerad i firmware laddar ner ytterligare applikationer dÀr den skadliga aktiviteten genomförs och delegerar ytterligare rÀttigheter, sÄsom tillgÄng till aviseringar och SMS. 32 sÄdana installera appar har registrerats, vilket kombinerar skadliga funktioner med en ljudredigerare, vÀderwidget, filhanterare, applikationsblockerare och OCR.
Den primÀra skadliga funktionen Àr integrerad i biblioteket libeasy.so, som tillhandahÄller funktioner för att ladda ytterligare skadliga moduler frÄn externa servrar. TjÀnsten för interaktion med kontrollcentret servrar maskeras som ett API för att kontrollera vÀderprognoser. Eftersom de skadliga komponenterna Àr en del av systempartitionen krÀvs det att enheten flashas om eller att komponenterna inaktiveras genom ADB-verktyget för att avlÀgsna dem.
KĂ€lla: opennet.ru
