Telefoanele Android ieftine ale unor producători mai puțin cunoscuți sunt comercializate cu malware preinstalat, după cum au descoperit cercetătorii în securitate cibernetică de la Bitdefender, care avertizează asupra unei campanii informatice extinse la nivel internațional. Amenințarea, denumită Midnight Mimosa, afectează anumite dispozitive care ajung la cumpărători cu software malițios integrat direct în sistemul de operare, înainte ca aceștia să înceapă să le utilizeze.
Bitdefender explică faptul că malware-ul nu funcționează precum o aplicație obișnuită descărcată dintr-o sursă nesigură, deoarece beneficiază de privilegii avansate și poate controla anumite funcții ale telefonului fără acordul proprietarului. Programul malițios poate instala sau elimina aplicații, poate modifica permisiunile acestora și poate executa cod primit de la distanță, transformând dispozitivul într-un instrument controlat de atacatori.
Pentru utilizatori, problema este deosebit de serioasă deoarece respectarea recomandărilor obișnuite de securitate nu garantează protecția împotriva unei amenințări prezente încă de la achiziționarea telefonului. Cercetătorii au identificat această activitate pe mii de dispozitive din peste 150 de țări, ceea ce demonstrează amploarea internațională a campaniei descoperite.
Telefoanele Android afectate de malware-ul descoperit de Bitdefender
Printre dispozitivele asociate campaniei Midnight Mimosa se numără modele precum Doogee S200 X și Cubot KINGKONG X, comercializate de producători care activează în special pe piața telefoanelor accesibile. Cercetarea indică o concentrare asupra unor mărci mai puțin cunoscute, fără a sugera că toate modelele acestor companii sau toate telefoanele ieftine sunt compromise.
Un aspect important al amenințării este integrarea malware-ului în firmware, adică în software-ul de bază care permite funcționarea componentelor și serviciilor dispozitivului. Această poziționare îi oferă acces la operațiuni pe care aplicațiile obișnuite nu le pot realiza fără autorizare, inclusiv modificarea programelor instalate și acordarea unor permisiuni suplimentare.
Midnight Mimosa poate inclusiv să dezactiveze temporar magazinul Google Play înainte de instalarea unor componente malițioase, într-o încercare de a evita mecanismele de detectare asociate serviciului Play Protect. Prin această metodă, atacatorii încearcă să reducă posibilitatea ca activitățile neautorizate să fie identificate, chiar dacă utilizatorul folosește serviciile de securitate oferite de Google.
Cum sunt folosite telefoanele infectate pentru a genera bani
Bitdefender arată că scopul principal al operațiunii pare să fie obținerea unor venituri prin exploatarea telefoanelor compromise, fără ca proprietarii să fie informați despre activitățile desfășurate. Printre metodele identificate se numără afișarea ascunsă a reclamelor și generarea unor interacțiuni publicitare frauduloase, prin care atacatorii încearcă să obțină bani din trafic artificial.
Campania permite și transformarea dispozitivelor în noduri ale unor rețele controlate de la distanță, cunoscute sub denumirea de botnet, care pot fi utilizate în atacuri informatice. Unele telefoane pot funcționa inclusiv ca servere proxy, permițând redirecționarea traficului prin conexiunile dispozitivelor afectate, fără ca utilizatorii să autorizeze asemenea operațiuni.
Telefoanele Android compromise pot deveni astfel o resursă pentru infractori informatici, care urmăresc să exploateze capacitatea de procesare și conectivitatea acestora în propriul interes. În cazul atacurilor distribuite de tip DDoS, numeroase dispozitive pot fi utilizate pentru a trimite volume mari de trafic către o țintă, cu scopul de a afecta disponibilitatea serviciilor atacate.
Țările în care au fost descoperite cele mai multe dispozitive
Investigația desfășurată de Bitdefender a urmărit activitatea campaniei timp de aproximativ doi ani, perioadă în care au fost observate mii de dispozitive afectate, distribuite în peste 150 de țări. Cele mai mari concentrări au fost înregistrate în Mexic, Franța și Italia, acestea fiind urmate de Statele Unite ale Americii, Germania, Brazilia și Spania.
Prezența dispozitivelor compromise în mai multe state europene confirmă faptul că amenințarea nu este limitată la piețele asiatice sau la regiunile unde telefoanele foarte ieftine sunt mai răspândite. Pentru cumpărătorii din România, descoperirea reprezintă un motiv de atenție în cazul achiziționării unor modele provenite de la producători mai puțin cunoscuți, fără ca aceasta să confirme existența unor infectări locale.
Distribuția internațională evidențiază și dificultatea identificării tuturor telefoanelor afectate, în condițiile în care dispozitivele pot ajunge la utilizatori prin diferite canale comerciale. Cercetarea nu stabilește că toate produsele mărcilor menționate sunt infectate, iar identificarea unor modele afectate nu justifică extinderea automată a avertismentului asupra întregii game.
De ce eliminarea malware-ului este atât de dificilă
Cea mai importantă problemă pentru proprietarii telefoanelor Android afectate este că Midnight Mimosa nu poate fi eliminat la fel de simplu precum o aplicație obișnuită instalată din magazinul Google Play. Deoarece componentele malițioase sunt prezente în partiția de sistem, dezinstalarea standard a aplicațiilor nu reprezintă o soluție suficientă pentru înlăturarea amenințării.
Eliminarea poate necesita intervenții asupra firmware-ului sau dezactivarea componentelor compromise folosind ADB, un instrument destinat administrării și depanării dispozitivelor, care presupune anumite cunoștințe tehnice. Aceste proceduri sunt dificil de realizat pentru utilizatorii obișnuiți, iar în lipsa unei remedieri corespunzătoare, înlocuirea telefonului poate reprezenta cea mai practică soluție.
Descoperirea Bitdefender arată că securitatea unui telefon nu depinde exclusiv de aplicațiile instalate ulterior de proprietar, ci și de integritatea software-ului cu care dispozitivul este comercializat. Campania Midnight Mimosa demonstrează că un preț redus poate ascunde riscuri greu de identificat, iar protejarea utilizatorilor afectați necesită soluții care să elimine compromiterea de la nivelul sistemului.
