Některé levné mobily v sobě mají předinstalovaný nebezpečný malware. Nepomáhá ani jeho smazání

Tisíce telefonů s Androidem obsahují malware, který nejde běžně odstranit

Bezpečnostní experti z firmy Bitdefender odhalili rozsáhlou škodlivou kampaň nazvanou Midnight Mimosa. Útočníci při ní zneužívají malware zabudovaný přímo do firmwaru některých levnějších smartphonů s Androidem.

To je zásadní rozdíl oproti běžným útokům. Škodlivý software se totiž může v telefonu nacházet už ve chvíli, kdy jej po zakoupení poprvé vybalíme z krabice.

Podle výzkumníků byly během přibližně dvou let zasaženy tisíce zařízení, a to ve více než 150 zemích světa. Malware přitom neslouží pouze k zobrazování podvodných reklam. Dokáže také instalovat další aplikace bez našeho vědomí a proměnit telefon v prostředníka pro síťovou komunikaci útočníků.

Malware se skrývá přímo v systému. Běžným způsobem jej neodstraníte

U většiny infekcí škodlivým kódem pro Android bývá prvním krokem chybné rozhodnutí uživatele. Nainstaluje si podvodnou aplikaci, otevře nebezpečný soubor nebo útočníkům nevědomky udělí potřebná oprávnění. Midnight Mimosa ale funguje jinak.

Malware je součástí systémového oddílu telefonu a využívá široká oprávnění, která běžné aplikace nemají. Výzkumníci jej objevili v levnějších zařízeních s čipovými sadami MediaTek. Škodlivé komponenty se navíc vydávají za legitimní součásti Androidu. Používají například názvy com.android.system.lite, com.android.sys.prot nebo com.android.sys.gmsprot.

Pro běžného uživatele tak nemusí být vůbec snadné poznat, že jde o něco podezřelého. Kvůli systémovým oprávněním může malware bez našeho potvrzení instalovat a odstraňovat další aplikace, přidělovat jim citlivá oprávnění nebo spouštět kód stažený ze serverů útočníků. A protože jde o privilegované systémové komponenty, běžné odstranění aplikace v nastavení Androidu nemusí být možné.

Podezřelé aplikace se po smazání znovu objevovaly. Uživatelé hlásili problémy s Doogee a Cubot

Výzkumníci zaznamenali škodlivý software na zařízeních s modelovými názvy Doogee S200 X a Cubot KINGKONG X. Objevili rovněž telefony, které se vydávaly za výrobky Samsungu a Applu. To samozřejmě neznamená, že jsou infikovány všechny telefony uvedených značek nebo modelových řad. Zajímavé jsou ale zkušenosti samotných uživatelů.

Na diskusním fóru XDA majitelé některých telefonů Doogee a Cubot popisovali podezřelé aplikace, které se po odstranění opakovaně instalovaly znovu. Jeden z majitelů modelu Doogee Fire 3 Max dokonce uvedl, že se malware do jeho telefonu dostal prostřednictvím oficiální aktualizace firmwaru. Po návratu ke starší verzi systému zmizel, ale po opětovné instalaci aktualizace se vrátil.

Někteří uživatelé také informovali, že výrobci později vydali aktualizace, které problém odstranily. Zůstává ale důležitá nezodpovězená otázka: Kdo škodlivý kód do firmwaru vložil? Bitdefender předpokládá, že k zásahu došlo v některé fázi dodavatelského řetězce. Zatím však není jasné, kdo za úpravou firmwaru stojí ani ve kterém okamžiku k ní došlo.

Telefon vydělává útočníkům peníze. Zobrazuje reklamy, které vůbec nevidíme

Jedním z hlavních účelů kódu Midnight Mimosa jsou reklamní podvody. Malware dokáže stahovat ze vzdálených serverů další škodlivé moduly. Bitdefender v rámci této infrastruktury identifikoval přibližně 32 aplikací, které se vydávaly například za předpověď počasí, správce souborů, nástroje pro zamykání aplikací nebo rozpoznávání textu z obrázků.

Na první pohled tak mohou působit jako docela obyčejné a užitečné programy. Ve skutečnosti ale některé z nich načítají reklamy ve skrytých oknech nebo s nimi automaticky pracují, aniž bychom o tom věděli. Výsledkem jsou falešná zobrazení reklam a podvodná kliknutí, za která mohou útočníci získávat peníze. Telefon se tak může stát součástí reklamního podvodu, přestože jeho majitel žádnou reklamu neotevřel.

Malware dokáže dočasně vypnout Obchod Play. Pak se tváří, že se nic nestalo

Zvlášť zákeřný je způsob, jakým se Midnight Mimosa snaží obejít bezpečnostní ochranu Androidu. Před instalací dalších škodlivých aplikací dokáže dočasně deaktivovat Obchod Play. Podle Bitdefenderu tím útočníci chtějí zabránit tomu, aby jeho ochrana Play Protect podezřelou instalaci odhalila. Jakmile je škodlivá aplikace nainstalována, malware aplikační platformu Obchod Play znovu aktivuje. Uživatel si tak nemusí ničeho všimnout.

Některé varianty dokonce upravují informace o původu nainstalovaných aplikací. V systému pak mohou působit dojmem, jako by pocházely z oficiálního Obchodu Play – přestože je ve skutečnosti nainstaloval malware. To je další důvod, proč může být odhalení infekce pro běžného uživatele mimořádně obtížné.

Váš telefon může sloužit jako prostředník pro cizí internetový provoz

Reklamní podvody přitom nejsou jediným rizikem. Výzkumníci objevili také funkce, které umožňují proměnit infikované smartphony v takzvané rezidenční proxy servery. Zjednodušeně řečeno: Útočník může zneužívat internetové připojení našeho telefonu jako prostředníka pro vlastní síťovou komunikaci.

Namísto přímého spojení se vzdáleným serverem tak může provoz směrovat přes infikované zařízení. Navenek potom může komunikace působit, jako by pocházela z běžného domácího nebo mobilního připojení. Útočník tím může skrývat skutečný původ své aktivity. Podle Bitdefenderu by tak mohl také přistupovat k zařízením, která jsou dosažitelná z napadeného telefonu.

Je ale potřeba dodat důležitou poznámku: Výzkumníci potvrdili, že řídicí infrastruktura této funkce byla aktivní a přijímala registrace zařízení. Při vlastním testování však nově zaregistrovaný telefon nedostal žádný požadavek na přesměrování provozu. Funkčnost infrastruktury tedy byla potvrzena, ale skutečné aktivní zneužívání telefonů k přeposílání dat se testem prokázat nepodařilo.

Škodlivé aplikace se dostaly také do Obchodu Play

Při vyšetřování experti Bitdefenderu narazili ještě na další souvislost. V oficiální platformě Obchod Play objevili 13 aplikací, které obsahovaly stejný kód pro reklamní podvody a zároveň komunikovaly s infrastrukturou Midnight Mimosa. Tyto aplikace se ale od škodlivých komponent, zabudovaných do firmwaru, zásadně liší.

Nemají totiž stejně vysoká systémová oprávnění, a proto nemohou bez potvrzení uživatele instalovat další software stejným způsobem jako předinstalovaný malware. Přesto mohou zobrazovat reklamy, a to dokonce ve chvíli, kdy telefon právě nepoužíváme. Výzkumníci identifikovali nejméně dva vývojářské účty, přes které byly tyto aplikace distribuovány.

Jak se bránit malwaru, který už je součástí telefonu?

Právě tady narážíme na největší problém celé kampaně. U běžné škodlivé aplikace může pomoci její odinstalování. Pokud je ale malware zabudovaný přímo do firmwaru a má systémová oprávnění, situace je podstatně složitější.

Podle Bitdefenderu může být nutné odstranit škodlivý kód na úrovni firmwaru, případně příslušnou komponentu deaktivovat pomocí nástroje Android Debug Bridge (ADB). To už ale není postup, do kterého by se měl bez zkušeností pouštět každý uživatel.

Pokud se na našem telefonu opakovaně objevují neznámé aplikace, které se po odstranění samy vracejí, je to důvod ke zvýšené opatrnosti. U konkrétního dotčeného zařízení má smysl ověřit, zda výrobce nevydal opravnou aktualizaci. Samotné obnovení továrního nastavení přitom nemusí pomoci, pokud škodlivý kód zůstává součástí systémového firmwaru.

Midnight Mimosa ukazuje, že bezpečnost Androidu nemusí záviset pouze na tom, jaké aplikace si sami instalujeme. Můžeme dodržovat všechna běžná doporučení, stahovat software pouze z důvěryhodných zdrojů, a přesto narazit na zařízení, jehož systém byl kompromitován ještě předtím, než se dostalo do našich rukou.

A právě proto je důležité nejen to, jak telefon používáme, ale také odkud pochází, kdo pro něj připravuje firmware a jak spolehlivě výrobce řeší objevené bezpečnostní problémy.

Zdroj: Bleeping Computer