Bitdefender виявив шкідливе ПЗ для показу реклами, попередньо встановлене на нерідних Android-телефонах по всьому світу

Попередньо встановлене шкідливе ПЗ на нерідних телефонах

Дослідники Bitdefender викрили масштабну кампанію рекламного шахрайства, пов’язану з попередньо встановленим шкідливим ПЗ на тисячах нерідних Android-телефонів у понад 150 країнах. Операція, що отримала назву Midnight Mimosa, зачіпає десятки брендів телефонів. Географічне поширення очолюють Мексика, Франція та Італія, за ними йдуть США, Німеччина, Бразилія та Іспанія.

Шкідливе працює з системними правами, тому більшість власників не може видалити його звичайним способом. Оператори використовують його для встановлення та видалення інших застосунків, видачі дозволів і завантаження довільного коду, завдяки чому заражені пристрої беруть участь у рекламному шахрайстві, у шахрайських проксі-ботнетах і, можливо, у DDoS-атаках.

Як працює шахрайство

Шкідливе встановлює замасковані застосунки, які виглядають звичайно, наприклад, погодні, для закріплення програм, заміток та OCR-застосунки. Кожен із них містить легітимний рекламний SDK, який здається частиною рекламної мережі та зараховує покази й кліки. Bitdefender виявив щонайменше 32 унікальні замасковані корисні навантаження (payload). Шкідливе виконує код, отриманий дистанційно, щоб створювати фейкові покази й кліки у фоновому режимі, а допоміжний застосунок отримує оплату, а користувач нічого не бачить. Шкідливе також вимикає захист Google Play Store під час встановлення чи видалення, а потім знову вмикає його.

Підробні пристрої та Google Play

Серед уражених моделей багато підробок, серед них підробні iPhone, такі як „i17 Pro Max“ і планшет „iPadAirPro“, а також копії назв Samsung Galaxy, такі як „S25 Ultra“ та „Note 18 Ultra“. Понад 11% заражених пристроїв видають себе за „KINGKONG X“, який пов’язаний із Cubot, а понад 4% — за „S200 X“, який пов’язаний із Doogee, хоча на топ-15 брендів припадає лише 35,8% унікальних заражених пристроїв. Шкідливий застосунок підписано ключем платформи Shenzhen Zediel Co., Ltd., який є реальним виробником Android OEM і планшетів у Шеньчжені, і він приховається під назвами системних пакетів, таких як com.android.system.lite. Bitdefender також знайшов на Google Play 13 застосунків із тим самим шкідливим кодом, серед них погодні застосунки та QR-сканери, тому кампанія не обмежується лише підробним апаратним забезпеченням.

Видалення та ризики

Оскільки root-компонент потрапляє у системний розділ, очищення пристрою вимагає очищення на рівні прошивки або вимкнення компонента через ADB, що для більшості власників є непосильним. Дослідники попереджають, що деякі продавці заманюють покупців дешевим апаратним забезпеченням, а потім вантажать на нього ПЗ, яке згодом генерує дохід. Користувачам слід уникати банківських операцій, авторизації на чутливих облікових записах або зберігання важливих даних на таких пристроях. Сканування мобільним антивірусом може допомогти виявити зараження, а власникам для заміни слід звернутися до продавця або виробника.

Джерела: Cybernews