A Midnight Mimosa kártevő több ezer olcsó androidos készüléket érinthetett, és már a telefonok megvásárlásakor jelen lehetett a rendszerben. A Bitdefender kutatói szerint a malware alkalmazásokat telepíthet, megkerülheti a biztonsági védelmeket, és távolról is vezérelhetővé teheti az érintett eszközöket. A 24.hu a Bleeping Computer beszámolója alapján írt a kampányról.
Két év alatt több mint 150 országban bukkant fel
A Midnight Mimosa nem hagyományos, a felhasználó által letöltött androidos alkalmazásként kerül a telefonokra. A rosszindulatú kód közvetlenül a firmware-be, vagyis a készülék vezérlőszoftverébe épülhet be valamikor az ellátási láncban. Egyelőre nem ismert, ki módosítja a firmware-t, és pontosan melyik szakaszban történik a beavatkozás.
A Bitdefender szerint a kampány két év alatt több ezer készüléket érintett több mint 150 országban. A kutatók körülbelül 32 olyan alkalmazást azonosítottak, amelyek legitim rendszerösszetevőknek álcázva működnek. Az érintett programok között időjárás-alkalmazásnak, fájlkezelőnek, alkalmazászárolónak és hangszerkesztőnek tűnő appok is vannak.
A kártevő leginkább a Samsung és az Apple készülékeit utánzó, olcsó mobilokon jelent meg. A kutatók Cubot és Doogee telefonokon is találtak érintettséget. A beszámolók szerint egy Doogee Fire 3 Max tulajdonosánál egy hivatalos firmware-frissítést követően jelentek meg a problémák, amelyek egy korábbi firmware-verzió visszaállításával megszűntek.
Rendszerszintű hozzáféréssel telepíthet alkalmazásokat
A Midnight Mimosa a rendszerpartíción található, ezért a telefon használója nem feltétlenül tud róla, hogy fertőzött készüléket vásárolt. A magas szintű jogosultságok lehetővé tehetik alkalmazások telepítését és eltávolítását, érzékeny engedélyek megadását, valamint távoli kódfuttatást is.
A Bitdefender szerint a malware a telepítések előtt ideiglenesen letilthatja a Google Play Áruházat. Ez megakadályozhatja, hogy a Google Play Protect észlelje a folyamatot, majd a kártevő a telepítés után újra engedélyezheti az áruház működését.
Az érintett készülékeken gyanús alkalmazások jelenhetnek meg, amelyek eltávolítás után újratelepítik magukat. A firmware-be épített összetevőket az Android szokásos alkalmazás-eltávolítási funkciójával nem lehet biztosan törölni. A kutatók szerint teljes eltávolításukhoz firmware-szintű tisztításra vagy az összetevő Android Debug Bridge-en, vagyis ADB-n keresztüli letiltására lehet szükség. Ez sok felhasználónak technikailag nehéz feladat, ezért a beszámoló a kétes hátterű mobilgyártóktól származó készülékek kerülését javasolja.
