Midnight Mimosa: Vorinstallierte Malware-Werbebetrug auf Android-Firmware mit MediaTek

Bitdefender hat eine massive Kampagne entdeckt, die Malware direkt in die wirtschaftliche Android-Handy-Firmware auf Basis von MediaTek-Plattformen integriert. Die Feststellung, getauft von der Firma als Midnight Mimosa, beschreibt eine vorinstallierte Komponente, die als com.android.system.lite identifiziert wird, die Aufgaben mit Systemvorteilen ausführt: Remote-Konfigurationen herunterladen, zusätzliche Module laden und es anderen Anwendungen still erlauben. Diese Verhaltensweisen ermöglichen es den Betreibern, Apps zu installieren oder zu entfernen, Zugänglichkeitsdienste und Benachrichtigungen zu aktivieren und das Terminal in einen privaten Proxyknoten oder einen Teil eines Botnets zu verwandeln, das Werbebetrug gewidmet ist.

Die von Bitdefender bestätigten Tatsachen beinhalten, dass die eingebetteten Binärläufe in der Systempartition (dafür ist es keine abnehmbare Benutzer-App mit den üblichen Methoden), dass es Remote-Server kontaktiert, um eine Konfiguration und Nutzlast zu erhalten, und dass die entdeckten Nutzlasten Anzeigenbetrug durchführen, installieren "Dropper-Apps", die unsichtbare Anzeigen anzeigen und Proxy-Funktionen bedienen. Es wird auch bestätigt, dass die Kampagne die weltweit verteilten Geräte betrifft, wobei die meisten Vorfälle in Mexiko und Präsenz in Ländern wie Frankreich, Italien, USA gemeldet wurden. Deutschland, Brasilien, Spanien, Vereinigtes Königreich, Kanada, Rumänien, Polen und Thailand. Darüber hinaus hat Bitdefender 13 Anwendungen in Google Play gefunden, die mit der gleichen Befehls- und Kontrollinfrastruktur kommunizieren, was darauf hindeutet, dass die Operation nicht auf engagierte Firmware beschränkt ist, sondern auch Anwendungen in öffentlichen Geschäften verwendet, um zu monetarisieren.

Wie es technisch funktioniert: Das vorinstallierte Stück wird mit Systemprivilegien ausgeführt, so dass Sie den Paketmanager aufrufen, Pakete zu installieren oder zu entfernen und Berechtigungen anzupassen. Laut der Analyse, vor dem Herunterladen einer Payload-App die Malware vorübergehend deaktiviert die Google Play-App - wahrscheinlich zu evade Play Protect - und reaktiviert sie, sobald die Payload bereits auf dem Gerät ist. Die Tröpfchen, die dann installiert werden, enthalten eine legitime Werbung SDK, die echte Anzeigen dient, aber Betreiber setzen unsichtbare Fenster auf andere Apps, um Drucke und Klicks zu erfassen, ohne dass der Benutzer es bemerkt, erzeugen Betrug Einnahmen. Andere Module implementieren Proxyware, die den Traffic von Drittanbietern über das betroffene Endgerät verlinkt und Geräte für Betreiber, die legitime IP-Adressen benötigen, in "Residences" umwandeln.

Wer es betrifft und warum es zählt: der Hauptvektor sind wirtschaftliche Telefone mit Firmware basierend auf MediaTek, verkauft unter verschiedenen Marken. Die Tatsache, dass Malware in der System-Partition wohnt, verwandelt das Problem in eine Verpflichtung der Geräte-Lieferkette oder der Firmware-Flashing-Prozess: ein aktiver Käufer kann den Root-Installer nicht mit einem einfachen Deinstallieren oder eine Fabrik-Reset in den meisten Fällen entfernen. Die praktischen Konsequenzen reichen von Missbrauch von Daten und Leistungsdegradation bis hin zu Datenschutzrisiken (Informationen über installierte Anwendungen und Gerätedaten) und der Exposition des Netzwerks des Nutzers bis hin zum Drittverkehr. Für Unternehmen mit BYOD-Richtlinien können kompromittierte Geräte zu Missbrauchs- oder Exfiltrationsmitteln innerhalb des Unternehmensnetzwerks werden.

Bitdefender dokumentierte auch, dass einige der erkannten Firmware mit Zertifikaten im Zusammenhang mit Shenzhen Zediel Co., Ltd unterzeichnet wurden, obwohl das Unternehmen betont, dass es keine öffentlichen Beweise gibt, um zu beweisen, dass der Zertifikatsinhaber bewusst an der Einführung von Malware beteiligt war; das Vorhandensein von mehreren Firmennamen in der Untersuchung schlägt Komplikationen bei der Zuschreibung vor. Diese Ungewissheit ist relevant: Die Vorinstallation kann auf Akteure zurückzuführen sein, die Firmware während der Produktion oder Verteilung, auf fahrlässige Anbieter von Drittanbietern oder auf fragwürdige Praktiken der Montage und Händler abfangen oder ändern.

Die bestätigten, geschätzten und unsicheren: Es wird bestätigt, dass es eine vorinstallierte Komponente gibt, die in der Lage ist, Remote-Code, Handling-Einrichtungen und Teilnahme an Werbebetrug-Programmen zu betreiben; es ist auch klar, dass die Kampagne nutzt öffentliche Anwendungen zur Erweiterung der Monetisierung. Es ist eine Schätzung, basierend auf dem beobachteten Muster, dass der Hauptzweck ist, Einkommen durch Werbebetrug und Proxyware zu generieren; es ist glaubwürdig angesichts der technischen Architektur, aber Bitdefender nicht öffentlich zugeschrieben politische Ziele oder Spionage. Es bleibt unsicher, wer den Code in die Lieferkette eingeführt hat und ob bestimmte Marken in gutem Glauben gehandelt haben oder Opfer von Dritten waren.

Was ein Betroffener tun kann: die Art des Engagements erzwingt Maßnahmen, die sich von denen einer traditionellen Malware unterscheiden.

Private: Überprüfen Sie den Datenverbrauch und die Batterie, Genehmigungen für System-Apps, und wenn der Play Store wird sofort deaktiviert. Suchen Sie nach Namen von verdächtigen Paketen; wenn Sie com.android.system.lite oder andere nicht erkannte Komponenten finden, denken Sie, dass ein Neustart oder eine Fabrik Restaurierung nicht genug sein kann.

Fortgeschrittene und technische Anwender: Eine endgültige Lösung besteht darin, ein offizielles und sauberes Firmware-Bild zu blättern oder eine verifizierte Alternative ROM zu installieren, die das Herunterladen von Firmware vom Hersteller und nach sicheren Flash-Verfahren erfordert. Eine weitere Zwischen-, temporäre Option ist ADB zu verwenden, um die Systemkomponente zu deaktivieren; Befehle wie "adb shell pm disable-user --user 0"oder" adb shell pm deinstallieren --user 0"kann die Funktionalität für den aktuellen Benutzer deaktivieren, aber die Binärdatei nicht aus der Systempartition entfernen und kann zu Instabilität führen, wenn legitime Systemkomponenten deaktiviert werden. Backup, bevor Sie die Firmware berühren oder ADB-Befehle ausführen.

Verbraucher, die nicht blinken können: kontaktieren Sie den Verkäufer oder Hersteller, um eine Firmware-Update oder Ersatz, und wenn sie das Terminal in einem großen Händler gekauft, benötigen sie Änderung oder Erstattung. Melden Sie den Fall an den Speicher, in dem das Gerät gekauft wurde und erwägen Sie es zurückzugeben. Für Geräte, die mit sensiblen Konten (Banking, Corporate Mail) verbunden sind, ändern Sie Passwörter und aktivieren Sie starke Authentifizierungsmaßnahmen von einem anderen zuverlässigen Gerät.

Politik und vorbeugende Empfehlungen: um seriöse Marken und Verkäufer zu kaufen, um Informationen über den Ursprung der Firmware zu verlangen, verdächtige billige Angebote in Sekundärmärkten zu vermeiden und Sicherheitszertifizierungen zu verlangen, wenn möglich. In Business-Umgebungen reduziert die Übernahme von Geräteinventarsteuerungen, Segmentierungsnetzwerken und Blockierung von Ports und Protokollen, die eine externe Proxynutzung ermöglichen.

Für mehr technischen Kontext und Minderung, siehe die offiziellen Android Guides auf Entwicklungstools und ADB in evooper.android.com, Googles Erklärung über Play Protect in Unterstützung.google.com und die Sicherheitsdokumentation von MediaTek in Mediatek.com. Bitdefender hat seine technische Analyse des Vorfalls veröffentlicht und ist die Hauptquelle der forensischen Medien, die wir erwähnt haben.

Kurz gesagt: Midnight Mimosa zeigt, dass die gefährlichste Bedrohung auf Android-Geräten nicht mehr nur eine bösartige App, die vom Benutzer heruntergeladen wird, sondern die Einführung von Code in das eigene Bild des Systems ist. Dies erfordert Antworten, die über individuelle digitale Hygiene hinausgehen und technische und rechtliche Verantwortung von Herstellern, Händlern und Marktplätzen verlangen.