Levné telefony s Androidem mohou mít malware už z výroby. Midnight Mimosa se nedá odinstalovat
Malware Midnight Mimosa se ukrývá ve firmwaru levných telefonů s Androidem. Nedá se odinstalovat, obchází Google Play Protect a slouží k reklamním podvodům.
Nákup nového telefonu většinou spojujeme s pocitem jistoty. Zařízení je zabalené, nepoužité a čisté, takže by mělo být bezpečné. Bezpečnostní výzkumníci ze společnosti Bitdefender ale upozornili na kampaň, která tuto představu vyvrací. Malware Midnight Mimosa se nachází přímo ve firmwaru levných telefonů s Androidem, takže je telefon napadený dřív, než ho majitel poprvé zapne.
Co je Midnight Mimosa
Jde o předinstalovaný malware, který je součástí systémového softwaru telefonu. Nejde tedy o běžnou aplikaci, kterou by si uživatel omylem stáhl z pochybného webu nebo z obchodu s aplikacemi. Škodlivý kód je zabudovaný do zařízení už ve chvíli, kdy opouští výrobní nebo distribuční řetězec. Hlavní součást se skrývá pod nenápadnými systémovými názvy jako com.android.system.lite, com.android.sys.prot nebo com.android.sys.gmsprot. Na první pohled tak vypadá jako běžná součást Androidu.
Problém je v tom, že tato aplikace je podepsaná jako součást platformy, a systém jí proto plně důvěřuje. Získává systémová oprávnění, která běžné aplikace nemají. Díky nim může tiše instalovat a odinstalovat aplikace, udělovat jim oprávnění a stahovat další kód ze vzdáleného serveru, aniž by o tom majitel telefonu cokoli věděl.
Jak malware funguje
Po prvním zapnutí telefonu se škodlivá komponenta připojí k serveru útočníků a čeká na pokyny. Ti pak mohou do zařízení dostávat další škodlivé moduly podle toho, co zrovna potřebují. Výzkumníci identifikovali nejméně 32 maskovaných aplikací spojených s touto operací.
Zvláště zákeřný je způsob, jakým se malware vyhýbá odhalení. Před instalací dalších škodlivých součástí dokáže dočasně vypnout Obchod Google Play, a tím obejít kontrolu Google Play Protect. Jakmile je hotovo, obchod znovu zapne a uživatel si ničeho nevšimne. Komponenta navíc umí zneužívat oprávnění pro přístupnost, přístup k oznámením a SMS zprávám, což z ní dělá potenciálně velmi nebezpečný nástroj.
Proč to útočníci dělají
Hlavním cílem kampaně jsou zřejmě peníze. Infikované telefony slouží především k reklamním podvodům, kdy na pozadí generují falešná zobrazení a kliknutí na reklamy. Zařízení lze také zapojit do botnetu nebo z nich udělat proxy uzly, přes které útočníci přesměrovávají cizí internetový provoz. Majitel telefonu tak nevědomky propůjčuje svůj přístroj i připojení k nelegální činnosti, což se může projevit vyšší spotřebou dat, rychlejším vybíjením baterie nebo zpomalením systému.
Výzkum navíc odhalil 13 aplikací v Google Play, které komunikovaly se stejnou infrastrukturou jako Midnight Mimosa. Kampaň tedy nespoléhá jen na napadené telefony, ale zasahuje i do oficiálního obchodu s aplikacemi.
Kterých telefonů se to týká
Nákaza se objevuje hlavně na levných telefonech s čipy MediaTek od méně známých značek. Mezi postiženými zařízeními jsou i padělky vlajkových modelů, tedy telefony prodávané na internetu pod názvy připomínajícími drahé značkové přístroje, například „S25 Ultra“ za zlomek ceny originálu. Úplný seznam postižených modelů zatím není známý.
Bezpečnostní experti zaznamenali tisíce infikovaných zařízení ve více než 150 zemích během zhruba dvou let. Nejvíce případů pochází z Mexika, Francie, Itálie a Spojených států, západní Evropa ale patří k hlavním oblastem výskytu. Hrozba se tedy týká i evropských zákazníků, kteří nakupují levné telefony přes zahraniční e-shopy a tržiště.
Dá se malware odstranit
Tady je hlavní háček. Protože je škodlivý kód součástí firmwaru, nelze ho odinstalovat běžným způsobem a nepomůže ani obnovení továrního nastavení. Po resetu se telefon vrátí do původního stavu, a ten už malware obsahuje. Zkušenější uživatelé mohou komponentu zkusit vypnout pomocí nástroje ADB z počítače, skutečné vyčištění ale vyžaduje zásah do firmwaru. Pro většinu lidí je proto nejrozumnějším řešením telefon vyměnit.
Jak se chránit
Nejlepší obranou je prevence při nákupu. Vyplatí se vyhýbat podezřele levným telefonům neznámých značek a hlavně nápadně levným „vlajkovým“ modelům z neověřených zdrojů. Rozumnou volbou jsou telefony certifikované Googlem, které procházejí přísnějšími kontrolami, a nákup u důvěryhodných prodejců. Před koupí stojí za to podívat se na zkušenosti ostatních majitelů, protože problémy s předinstalovaným softwarem se často rychle objeví v diskusích.
Pokud už levný telefon máte, sledujte, zda se v něm neobjevují aplikace, které jste neinstalovali, nevyžádané reklamy nebo neobvyklá spotřeba dat a baterie. To mohou být známky, že v zařízení běží něco, co tam být nemá. Případ Midnight Mimosa ukazuje, že u telefonu nerozhoduje jen výkon a cena, ale i původ jeho softwaru a důvěryhodnost dodavatelského řetězce.
FAQ
Může být nový nepoužitý telefon napadený malwarem?
Ano, malware Midnight Mimosa je zabudovaný přímo ve firmwaru, takže telefon je napadený ještě před prvním zapnutím. Uživatel přitom nemusí udělat žádnou chybu, protože škodlivý kód je v zařízení už při nákupu.
Pomůže obnovení továrního nastavení?
Bohužel nepomůže, protože malware je součástí systému a po resetu v telefonu zůstává. Odstranění vyžaduje zásah do firmwaru nebo vypnutí komponenty přes ADB, většině lidí proto zbývá výměna telefonu.
Jak poznám, že je můj telefon infikovaný?
Podezřelé jsou aplikace, které jste sami neinstalovali, vyskakující reklamy a nezvykle vysoká spotřeba dat nebo baterie. Riziko se týká hlavně levných telefonů s čipy MediaTek od neznámých značek a padělků drahých modelů.