Šta se desilo?

Bitdefender je 8. oktobra objavio istraživanje kampanje Midnight Mimosa. Na pojedinim Android uređajima malver je ugrađen u firmver i radi sa sistemskim ovlašćenjima. Može da instalira i uklanja aplikacije bez odobrenja vlasnika, učitava dodatni kod i uključuje uređaj u mrežu proksi čvorova.

Koga pogađa?

Istraživači navode hiljade jedinstvenih uređaja u više od 150 zemalja tokom približno dve godine posmatranja. To je obim njihove telemetrije, a ne konačan broj svih pogođenih uređaja. Među zabeleženim oznakama su Doogee S200 X i Cubot KINGKONG X, kao i uređaji sa lažnim oznakama poznatih modela. Nalaz ne znači da su svi uređaji tih brendova ili svi telefoni sa MediaTek čipovima zaraženi.

Kako se zaštititi?

  • Proverite tačan model i oznaku firmvera i zatražite od proizvođača ili prodavca potvrđeno rešenje.
  • Ne instalirajte nasumičan firmver i ne vraćajte stariju verziju samo na osnovu saveta sa foruma. Paket mora odgovarati modelu i regionalnoj verziji uređaja.
  • Ako se potvrdi sistemski malver, prekinite korišćenje uređaja za osetljive naloge dok se ne obezbedi pouzdan oporavak ili zamena.
  • Bezbednosna aplikacija može pomoći u otkrivanju, ali obična deinstalacija aplikacije nije dovoljna za čišćenje zaraženog firmvera.

Tehnički detalji

Sistemska komponenta pojavljuje se pod više naziva, među kojima su com.android.system.lite i com.android.sys.prot. Istraživanje opisuje najmanje 32 dodatne maskirane aplikacije i privremeno onemogućavanje Play Store aplikacije tokom instalacije dodatnog sadržaja.

Bitdefender je pronašao i 13 Google Play aplikacija sa povezanim kodom za reklamne prevare. One nisu automatski imale ista sistemska ovlašćenja kao unapred instalirane komponente. Nije utvrđeno ko je i u kom delu lanca snabdevanja dodao malver; sertifikat sa imenom dobavljača nije dokaz njegovog svesnog učešća.

Zašto je važno?

Kada je zlonamerna komponenta deo sistemske particije, uklanjanje naknadno instaliranih aplikacija ne otklanja izvor problema. Potreban je pouzdan postupak sanacije firmvera, a ne samo čišćenje vidljivih simptoma.

Preporuka Sajber Radara

Kupujte uređaje sa proverljivom podrškom i jasnom politikom ažuriranja. Kod potvrđene infekcije tražite od proizvođača ili prodavca čist, odgovarajući firmver ili zamenu uređaja. Univerzalna ispravljena verzija za sve opisane modele nije potvrđena.