Złośliwe oprogramowanie wbudowane w firmware tanich smartfonów z Androidem — kampania Midnight Mimosa w ponad 150 krajach
W skrócie
- Kampania Midnight Mimosa polega na wbudowaniu złośliwego oprogramowania bezpośrednio w firmware tanich smartfonów z Androidem opartych na platformach MediaTek, co uniemożliwia jego usunięcie standardowymi metodami.
- Złośliwy kod działa z uprawnieniami systemowymi, umożliwiając operatorom ciche instalowanie aplikacji, przyznawanie uprawnień i włączanie urządzeń do botnetów — Bitdefender wykrył tysiące zainfekowanych urządzeń w ponad 150 krajach.
- Oprócz zainfekowanego firmware'u badacze znaleźli 13 aplikacji w Google Play zawierających ten sam kod kampanii Midnight Mimosa, co daje atakującym dodatkowy kanał dystrybucji.
Zagrożenie ukryte już w pudełku
Tanie smartfony z Androidem cieszą się ogromną popularnością na całym świecie — i właśnie tę popularność wykorzystują cyberprzestępcy. Badacze z firmy Bitdefender odkryli i przeanalizowali kampanię o nazwie Midnight Mimosa, w której złośliwe oprogramowanie jest wbudowane bezpośrednio w firmware urządzeń opartych na platformach MediaTek, jeszcze przed ich sprzedażą securityweek.com.
Gdy użytkownik po raz pierwszy włącza takie urządzenie, złośliwy kod jest już obecny — niewidoczny i gotowy do zdalnego sterowania przez serwer dowodzenia (C2) operatorów. Co kluczowe, jest to trwała aplikacja systemowa zainstalowana na poziomie firmware'u, której nie można usunąć standardowymi metodami odinstalowywania securityweek.com.
Możliwości i cele atakujących
Złośliwe oprogramowanie działa z uprawnieniami systemowymi, co daje jego operatorom rozległą kontrolę nad zainfekowanym urządzeniem. Jak wskazuje raport Bitdefender: „Złośliwy kod działa z uprawnieniami systemowymi, które pozwalają mu po cichu instalować i usuwać aplikacje, przyznawać uprawnienia oraz ładować dowolny kod dostarczany zdalnie. Oznacza to w praktyce, że operatorzy mogą instalować i usuwać aplikacje według własnego uznania, dostosowując każde urządzenie do swoich potrzeb, w tym włączając je do dużych botnetów" securityweek.com.
Główne cele kampanii Midnight Mimosa to:
- oszustwa reklamowe — zautomatyzowane klikanie w reklamy generujące przychody dla atakujących,
- budowa botnetów — włączanie urządzeń jako elementów większych sieci, które można wynajmować innym cyberprzestępcom,
- nadużywanie sieci proxy — wykorzystanie zainfekowanych urządzeń jako węzłów pośredniczących,
- zdalne zarządzanie ładunkami złośliwego kodu — możliwość dynamicznego aktualizowania złośliwego oprogramowania securityweek.com.
Kampania jest celowo zaprojektowana tak, by pozostawać niezauważona — tysiące drobnych oszustw reklamowych rozłożonych w czasie zapewnia operatorom stały zwrot z inwestycji, a duże botnety można wynajmować jako usługę innym złośliwym podmiotom securityweek.com.
Skala i zasięg geograficzny
W ciągu ostatnich dwóch lat Bitdefender zaobserwował tysiące unikalnych zainfekowanych urządzeń w ponad 150 krajach. Żaden pojedynczy kraj ani region nie dominuje w dystrybucji — na czele zestawienia znajdują się Meksyk i Francja, za nimi plasują się Włochy, Stany Zjednoczone, Niemcy, Brazylia i Hiszpania. Regionalnie wyróżniają się Europa Zachodnia oraz obie Ameryki securityweek.com.
Dodatkowy kanał dystrybucji — Google Play
Kampania nie ogranicza się wyłącznie do zainfekowanego firmware'u. Bitdefender wykrył 13 aplikacji opublikowanych w sklepie Google Play, podpisanych oddzielnymi certyfikatami w ramach dwóch kont deweloperskich, które zawierają ten sam kod oszustw reklamowych charakterystyczny dla Midnight Mimosa securityweek.com.
Aplikacje ze sklepu Play nie mają co prawda tych samych uprawnień systemowych co złośliwy kod wbudowany w firmware, ale są uznawane za element szerszego ekosystemu kampanii i stanowią dla atakujących dodatkowy kanał dystrybucji securityweek.com.
Ominięcie zabezpieczeń Google Play Protect
Zarówno w przypadku złośliwego oprogramowania preinstalowanego, jak i pobranego ze sklepu Play, badacze zaobserwowali charakterystyczne zachowanie: złośliwy kod tymczasowo wyłącza sklep Google Play przed instalacją dodatkowych aplikacji, a następnie go ponownie włącza — prawdopodobnie po to, by uniknąć wykrycia przez Play Protect. „Złośliwa instalacja odbywa się w oknie czasowym, gdy skaner Google'a jest wyłączony" — wskazują badacze Bitdefender securityweek.com.
Zagrożenie dla łańcucha dostaw
Midnight Mimosa należy przede wszystkim traktować jako zagrożenie dla łańcucha dostaw — złośliwe oprogramowanie jest integrowane z urządzeniem jeszcze przed jego sprzedażą. Kampanię charakteryzuje preinstalowana trwałość, kontrola na poziomie systemowym, działalność związana z oszustwami reklamowymi, nadużywanie sieci proxy oraz zdalne zarządzanie ładunkami złośliwego kodu. Atakujący mają rozległą kontrolę nad zainfekowanymi urządzeniami od samego początku ich użytkowania securityweek.com.
Bitdefender opublikował obszerną listę wskaźników kompromitacji (IoC), które mogą pomóc w wykrywaniu zagrożenia.
Co to oznacza
Kampania Midnight Mimosa pokazuje, że zagrożenie może czyhać na użytkownika jeszcze przed pierwszym uruchomieniem urządzenia — co czyni je wyjątkowo trudnym do wykrycia i zwalczania. Tanie smartfony z Androidem są szczególnie popularne w krajach rozwijających się, ale jak pokazuje geografia infekcji, problem dotyka też Europy Zachodniej, w tym krajów takich jak Francja, Niemcy i Włochy securityweek.com.
Polska, jako rynek chłonny na budżetowe urządzenia mobilne, również może być narażona.
Dla przeciętnego użytkownika oznacza to, że sama ostrożność przy instalowaniu aplikacji nie wystarczy — jeśli złośliwy kod jest częścią firmware'u, żadne działanie po zakupie nie jest w stanie go usunąć. Jedynym skutecznym środkiem ochrony jest świadomy wybór producenta i modelu urządzenia, a w przypadku firm — weryfikacja łańcucha dostaw sprzętu mobilnego przed jego wdrożeniem.
Odkrycie 13 aplikacji w Google Play powiązanych z tą samą kampanią podważa też zaufanie do oficjalnych sklepów z aplikacjami jako wystarczającego filtru bezpieczeństwa. Fakt, że złośliwy kod potrafi tymczasowo wyłączyć Play Protect podczas instalacji dodatkowych komponentów, wskazuje na rosnące wyrafinowanie technik unikania detekcji securityweek.com.
Dla organizacji korzystających z urządzeń mobilnych w środowiskach korporacyjnych to sygnał, by wdrożyć dodatkowe warstwy ochrony — niezależne od mechanizmów wbudowanych w sam system operacyjny.
Szerszy kontekst
Midnight Mimosa zgłoszono na tanich, wielomarkowych urządzeniach z Androidem zbudowanych na platformach MediaTek, a choć są to głównie mniej znane modele, dotknęła ona smartfony w ponad 150 krajach.
Bitdefender zaobserwował tysiące zainfekowanych urządzeń w ponad 150 krajach.
Złośliwe oprogramowanie jest dostarczane preinstalowane w firmware urządzenia, a w zależności od urządzenia zaangażowanych było wiele pakietów systemowych. Znajduje się ono w telefonie, zanim właściciel włączy go po raz pierwszy, i nie można go odinstalować.
Analiza
Najważniejszy wniosek z kampanii Midnight Mimosa dotyczy łańcucha dostaw, a nie pojedynczej aplikacji. Złośliwy kod trafia do firmware'u przed sprzedażą, więc użytkownik nie ma na niego wpływu już od pierwszego włączenia. Bitdefender zaznacza jednak, że nie wiadomo jeszcze, na którym etapie produkcji lub dystrybucji malware został umieszczony. Mogło to nastąpić u producenta oryginalnego sprzętu (ODM), u integratora firmware'u, u firmy logistycznej albo u innego podmiotu dalej w łańcuchu. Badacze potwierdzili jedynie, że firmware podpisano certyfikatami na nazwę Shenzhen Zediel, ale nie ustalili, czy ta firma wiedziała o instalacji złośliwego kodu (wg bitdefender.com). Dla rynku oznacza to, że za bezpieczeństwo odpowiada także reputacja i kontrola dostawców sprzętu, a nie tylko zachowanie użytkownika.
Skala i charakter zagrożenia są też istotne dla ryzyka komercyjnego. Według Bitdefendera kampania objęła tysiące urządzeń w ponad 150 krajach w ciągu około dwóch lat, a większość zainfekowanych modeli to mało znane marki oparte na platformach MediaTek. Część z nich to podróbki droższych telefonów, np. podszywające się pod Galaxy S24 Ultra (wg androidpolice.com), a w raportach pojawiają się też nazwy „S25 Ultra" i „i17 Pro Max" oraz modele Doogee S200 X i Cubot KINGKONG X (wg hackread.com). Oznacza to, że problem nie dotyczy wyłącznie jednej marki, a sama nazwa modelu w ofercie sprzedawcy nie gwarantuje autentyczności. Warto jednak pamiętać, że liczby z raportu dotyczą wykrytych urządzeń, a nie całego rynku, więc nie należy na ich podstawie oceniać skali ryzyka dla konkretnych krajów. Wzmianka o Polsce w artykule jest wyłącznie hipotezą autora, bo źródła jej nie potwierdzają.
Najbardziej niepokojące w tej historii jest to, że zabezpieczenia Androida i Google Play nie wystarczyły. Trzynaście aplikacji w sklepie Play komunikowało się z tą samą infrastrukturą, a malware tymczasowo wyłączał Play Protect podczas instalacji (wg bitdefender.com). Dla organizacji wniosek jest praktyczny: sprzęt mobilny trzeba kupować przez autoryzowanych sprzedawców, weryfikować pochodzenie urządzeń przed wdrożeniem i stosować dodatkowe warstwy ochrony niezależne od systemu. Według androidpolice.com w przypadku już zainfekowanego telefonu najrozsądniejsze wyjście to jego wymiana, bo malware z poziomu firmware'u trudno usunąć.