Bitdefender גיתה תוכנה זדונית להונאות פרסום מותקנת מראש על טלפוני Android לא ממותגים ברחבי העולם

תוכנה זדונית מותקנת מראש על טלפונים לא ממותגים

חוקרי Bitdefender גילו מסע הונאות פרסום בקנה מידה גדול הקשור לתוכנה זדונית מותקנת מראש על אלפי טלפוני Android לא ממותגים ביותר מ-150 מדינות. המבצע, שנקרא Midnight Mimosa, נוגע במאות מותגי טלפונים. מבחינת התפלגות גיאוגרפית, בראש הרשימה עומדות מקסיקו, צרפת ואיטליה, ואחריהן ארה"ב, גרמניה, ברזיל וספרד.

התוכנה הזדונית פועלת בהרשאות ברמת מערכת, ולכן רוב הבעלים אינם מסוגלים למחוק אותה בדרך רגילה. המפעילים משתמשים בה להתקנה והסרה של אפליקציות אחרות, מתן הרשאות וטעינת קוד שרירותי, באמצעותו מכשירים נגועים משתתפים בהונאות פרסום, בבוטנטים של פרוקסי מגורים, ועשויים אף להשתתף במתקפות DDoS.

איך פועלת ההונאה

התוכנה הזדונית מתקינה אפליקציות מזויפות שנראות רגילות, למשל אפליקציות מזג אוויר, נעילת אפליקציות, פתקיות ויישומי OCR. לכל אחת מהן מצורף SDK פרסוטי לגיטימי שמתחבר לרשתות פרסום ומזכה עצמו בהופעות ולחיצות. Bitdefender קבע כי מדובר בלפחות 32 אפליקציות מזויפות ייחודיות. התוכנה הזדונית מבצעת קוד שנשלח מרחוק כדי ליצור הופעות ולחיצות מזויפות ברקע, בעוד אפליקציית העזר מקבלת תשלום והמשתמש לא רואה כלום. התוכנה הזדונית מכבה גם את הגנת Google Play Store בזמן ההתקנה או ההסרה ולאחר מכן מפעילה אותה שוב.

מכשירים מזויפים ו-Google Play

בין הדגמים שנפגעו רבים הם מזויפים, כולל iPhone מזויפים כמו "i17 Pro Max" והטאבלט "iPadAirPro", וכן שמות מועתקים של Samsung Galaxy כמו "S25 Ultra" ו-"Note 18 Ultra". יותר מ-11% מהמכשירים הנגועים מזהים את עצמם כ-"KINGKONG X" הקשור ל-Cubot, ויותר מ-4% כ-"S200 X" הקשור ל-Doogee, אם כי ב-15 המותגים המובילים מדובר רק ב-35.8% מהמכשירים הנגועים הייחודיים. אפליקצייה הזדונית חתומה במפתח פלטפורמה על ידי Shenzhen Zediel Co., Ltd., שהיא יצרנית Android OEM וטאבלטים אמיתית מבוססת שנגחן, ומתחבאת מתחת לשמות של חבילות מערכת כמו com.android.system.lite. Bitdefender מצא גם ב-Google Play 13 אפליקציות עם אותו קוד זדוני, כולל אפליקציות מזג אוויר וסורקי QR, ולכן המסע אינו מוגבל רק לחומרה מזויפת.

הסרה וסיכונים

מכיוון שרכיב ה-root מגיע במחיצת המערכת, ניקוי המכשיר דורש ניקוי ברמת ה-firmware או כיבוי הרכיב באמצעות ADB, מה שאינו מציאותי עבור רוב הבעלים. החוקרים מזהירים כי חלק מהמוכרים מפתים קונים בחומרה זולה ולאחר מכן טוענים עליה תוכנה שתפיק הכנסות בהמשך. על משתמשים להימנע מביצוע פעולות בנקאיות, התחברות לחשבונות רגישים או שמירת נתונים חשובים על מכשירים כאלה. סריקה עם תוכנת אבטחה לטלפון נייד עשויה לסייע בגילוי הזיהום, ובעלים צריכים לפנות למוכר או ליצרן לצורך החלפה.

מקורות: Cybernews