Cercetătorii Bitdefender au descoperit o campanie de amenințări informatice, denumită Midnight Mimosa, care afectează anumite telefoane Android cu preț redus, comercializate sub diferite mărci. Programele periculoase sunt integrate în software-ul dispozitivelor înainte ca acestea să ajungă la cumpărători, astfel încât telefoanele pot fi compromise încă de la prima pornire, fără ca utilizatorii să instaleze aplicații sau să acceseze site-uri nesigure.

Investigația Bitdefender a identificat amenințarea pe dispozitive care folosesc procesoare MediaTek, inclusiv pe unele telefoane comercializate sub denumiri care imită modele premium ale unor producători cunoscuți. Atacatorii pot instala și elimina aplicații fără acordul proprietarului, pot genera venituri prin afișări și clicuri frauduloase pe reclame și pot folosi conexiunea la internet a telefonului pentru a direcționa traficul altor persoane.

Spre deosebire de atacurile uzuale asupra dispozitivelor mobile, în care utilizatorul este păcălit să descarce o aplicație periculoasă, Midnight Mimosa exploatează compromiterea software-ului instalat pe telefon înainte de comercializare. În aceste condiții, simpla evitare a aplicațiilor din surse necunoscute nu mai este suficientă pentru prevenirea infectării.

Cum funcționează amenințarea Midnight Mimosa

Analiza Bitdefender arată că programul periculos este deghizat într-o componentă legitimă a sistemului Android și beneficiază de drepturi de acces extinse. Acest lucru îi permite să comunice cu servere controlate de atacatori, să primească instrucțiuni și să instaleze sau să elimine alte aplicații fără notificarea utilizatorului. Aplicațiile instalate ulterior pot imita programe obișnuite, precum cele pentru prognoza meteo, gestionarea fișierelor, notițe, blocarea accesului sau prelucrarea imaginilor și a textului. În realitate, unele dintre acestea sunt folosite pentru a încărca reclame fără știrea utilizatorului și pentru a genera afișări sau clicuri fictive, din care atacatorii obțin venituri.

404, Ep. 2 | Algoritmii, depresia și 18 miliarde de dolari

Cercetătorii au identificat și componente care permit transformarea dispozitivelor compromise în servere intermediare de tip proxy. Prin intermediul acestora, persoane neautorizate pot direcționa trafic de internet prin conexiunea telefonului afectat, fără știrea proprietarului. Telefoanele pot deveni astfel parte a unor rețele de dispozitive compromise, cunoscute sub denumirea de botnet, care pot fi utilizate pentru diverse activități informatice abuzive, inclusiv pentru susținerea unor atacuri distribuite de blocare a serviciilor online.

Riscuri asociate dispozitivelor ieftine și lanțului de distribuție

Dispozitivele identificate în cadrul investigației fac parte din segmentul de telefoane Android cu preț redus, comercializate sub mai multe mărci. Unele folosesc denumiri asemănătoare modelelor premium, deși componentele și software-ul acestora nu provin de la producătorii sugerați de numele produselor.

Cercetarea nu indică faptul că toate telefoanele Android accesibile sunt nesigure. Riscurile sunt mai ridicate în cazul dispozitivelor provenite din surse greu de verificat, comercializate la prețuri neobișnuit de mici, fără informații clare despre producător, specificațiile tehnice sau disponibilitatea actualizărilor de securitate.

Un element important al investigației îl reprezintă compromiterea lanțului de aprovizionare. Atunci când software-ul unui dispozitiv este dezvoltat, modificat sau distribuit de mai multe companii, identificarea etapei în care a fost introdus un program periculos poate fi dificilă. În cazul Midnight Mimosa, cercetătorii au confirmat prezența amenințării în software-ul dispozitivelor afectate, însă nu au stabilit cu certitudine în ce etapă a procesului de producție sau distribuție a fost introdusă. Mai mult, deoarece amenințarea este integrată în componentele sistemului de operare, eliminarea aplicațiilor suspecte sau revenirea la setările din fabrică nu garantează înlăturarea acesteia. Remedierea completă poate necesita înlocuirea software-ului de sistem cu o versiune sigură, furnizată de producător.

Studioul românesc Amber anunță jocul Station 58 și își extinde strategia de jocuri originale

Cum pot utilizatorii identifica un telefon potențial compromis

Programele periculoase preinstalate sunt concepute pentru a funcționa fără să atragă atenția. Cu toate acestea, anumite comportamente neobișnuite pot indica prezența unor amenințări informatice.

Printre semnele care ar trebui să determine verificarea dispozitivului se numără apariția unor aplicații necunoscute, afișarea neobișnuită a reclamelor, consumul excesiv al bateriei sau al datelor mobile, supraîncălzirea frecventă și modificările inexplicabile ale comportamentului telefonului. De asemenea, diferențele dintre denumirea modelului afișată în setările sistemului și informațiile prezentate la cumpărare pot reprezenta un motiv suplimentar de suspiciune. Aceste indicii nu confirmă automat prezența Midnight Mimosa și pot avea și alte cauze. Totuși, justifică verificarea dispozitivului cu o soluție de securitate informatică și, dacă este necesar, contactarea comerciantului sau a producătorului.

Recomandările specialiștilor Bitdefender

Pentru reducerea riscurilor asociate dispozitivelor Android compromise, specialiștii Bitdefender recomandă:

  • Achiziționarea telefoanelor din surse de încredere. Utilizatorii ar trebui să aleagă comercianți cunoscuți și producători care oferă informații clare despre dispozitive și actualizările de securitate disponibile.
  • Verificarea autenticității dispozitivului. Înainte de cumpărare, este importantă confirmarea modelului exact, consultarea recenziilor independente și evitarea ofertelor care promovează telefoane premium la prețuri neobișnuit de mici.
  • Actualizarea sistemului de operare și a aplicațiilor. Instalarea actualizărilor oficiale contribuie la reducerea riscurilor, chiar dacă nu poate elimina automat o amenințare integrată în software-ul de sistem.
  • Verificarea aplicațiilor instalate și a certificării Google Play Protect. Aplicațiile necunoscute și lipsa certificării pot reprezenta motive suplimentare pentru verificarea telefonului.
  • Utilizarea unei soluții de securitate informatică de încredere. Aceasta poate identifica aplicații periculoase și comportamente suspecte, inclusiv atunci când programele încearcă să se prezinte drept componente legitime ale sistemului.
  • Evitarea utilizării dispozitivelor suspecte pentru activități sensibile. Până la clarificarea situației, utilizatorii ar trebui să evite accesarea serviciilor bancare, autentificarea în conturi importante și stocarea informațiilor confidențiale.
  • Contactarea comerciantului sau a producătorului în cazul confirmării compromiterii. Dacă amenințarea este integrată în software-ul dispozitivului și nu poate fi eliminată prin metode obișnuite, înlocuirea telefonului sau solicitarea rambursării banilor poate reprezenta cea mai sigură soluție.

Specialiștii atrag atenția că instalarea unor versiuni neoficiale ale sistemului de operare, descărcate din surse necunoscute, poate introduce vulnerabilități suplimentare sau poate duce la defectarea dispozitivului.

Investigația Midnight Mimosa a fost inițiată după ce tehnologiile Bitdefender de detectare a comportamentelor suspecte direct pe dispozitiv au identificat o componentă care se prezenta drept parte a sistemului Android, dar desfășura activități incompatibile cu funcționarea legitimă a acestuia.Descoperirea evidențiază importanța securității software-ului instalat din fabrică și a verificării lanțului de aprovizionare, în condițiile în care un dispozitiv poate fi compromis înainte să ajungă la utilizator. Analiza tehnică integrală, inclusiv mecanismele de funcționare ale amenințării și indicatorii de compromitere, este disponibilă pe blogul Bitdefender Labs.