Bitdefender, markası olmayan Android telefonlara önceden yüklenmiş reklam sahtekarlığı zararlısını keşfetti

Markasız telefonlara önceden yüklenmiş zararlı

Bitdefender araştırmacıları, 150'den fazla ülkedeki binlerce markasız Android telefona önceden yüklenmiş bir zararlıyla ilişkili büyük ölçekli bir reklam sahtekarlığı kampanyasını ortaya çıkardı. Midnight Mimosa adlı operasyon yüzlerce telefon markasını etkiliyor. Coğrafi dağılımda Meksika, Fransa ve İtalya öne çıkıyor; onları ABD, Almanya, Brezilya ve İspanya izliyor.

Zararlı, sistem düzeyinde yetkilerle çalıştığı için çoğu kullanıcı normal yollarla silemiyor. Operatörler onu diğer uygulamaları kaldırmak/yüklemek, izin vermek ve rastgele kod yüklemek için kullanıyor, böylece enfekte cihazlar reklam sahtekarlığına, barındırılan proxy botnetlerine ve hatta DDoS saldırılarına katılıyor.

Sahtekarlık nasıl çalışır

Zararlı, hava durumu, uygulama kilidi, notlar ve OCR uygulamaları gibi normal görünen sahte uygulamalar yükler. Her birinin içinde, reklam ağından gelen gösterim ve tıklamaları taklit eden meşru bir reklam SDK'sı bulunur. Bitdefender en az 32 benzersiz sahte yük uygulaması belirledi. Zararlı, uzaktan sağlanan kodu çalıştırarak arka planda sahte gösterim ve tıklamalar oluşturur; yardımcı uygulama ise ücret alır ve kullanıcı hiçbir şey görmez. Zararlı ayrıca kurulum veya silinme sırasında Google Play Store korumasını devre dışı bırakır ve ardından yeniden etkinleştirir.

Sahte cihazlar ve Google Play

Zarar gören modellerin çoğu sahte; arasında 'i17 Pro Max' ve 'iPadAirPro' tablet gibi sahte iPhone'lar, ayrıca 'S25 Ultra' ve 'Note 18 Ultra' gibi Samsung Galaxy taklit isimleri var. Enfekte cihazların %11'den fazlası Cubot'a ait 'KINGKONG X', %4'ten fazlası Doogee'ye ait 'S200 X' olarak görünüyor; ancak ilk 15 markada enfekte cihazların yalnızca %35,8'i benzersiz. Zararlı uygulama, gerçek bir Şenzhen merkezli Android OEM ve tablet üreticisi olan Shenzhen Zediel Co., Ltd. tarafından platform anahtarıyla imzalanmış ve com.android.system.lite gibi sistem paketleri altına gizlenmiş. Bitdefender Google Play'de aynı zararlı koda sahip hava durumu ve QR tarayıcı uygulamaları da dahil olmak üzere 13 uygulama daha buldu; bu yüzden kampanya sadece sahte donanımla sınırlı değil.

Silme ve riskler

Root bileşeni sistem bölümüne yüklendiğinden, cihazın temizlenmesi düzeyinde bir firmware temizliği veya ADB ile bileşenin devre dışı bırakılmasını gerektirir; bu çoğu sahibi için mümkün değil. Araştırmacılar uyarıyor: bazı satıcılar müşterileri ucuz donanımla cezbediyor ve sonra gelir elde etmek için böyle bir yazılım yükliyor. Kullanıcılar bu tür cihazlarda banka işlemlerinden, hassas hesaplarda giriş yapmaktan ve önemli veri saklamaktan kaçınmalı. Telefonun mobil güvenlik programıyla taranması enfeksiyonu yakalamaya yardımcı olabilir; sahibiler ise değişim için satıcı veya üreticiyle iletişime geçmeli.

Kaynaklar: Cybernews