Кампания Midnight Mimosa использует ВПО, встроенное в прошивку Android
Кампания Midnight Mimosa связана с предустановленным вредоносным ПО для Android, встроенным в прошивку до продажи устройства. Его обнаруживали на бюджетных, поддельных и брендовых устройствах по всему миру. Похожий код, связанный с рекламным мошенничеством, нашли также в тринадцати приложениях Google Play. Это указывает на отдельные каналы распространения через прошивки и официальный магазин.
Системный компонент и загрузка плагинов
Основной компонент обычно упакован как com.android.system.lite или один из вариантов com.android.sys.*. Это системное приложение с подписью платформы, скрытой иконкой, постоянным выполнением и привилегиями системного UID. Оно размещено в системном разделе, поэтому пользователи обычно не могут его удалить. Компонент умеет устанавливать и удалять пакеты, выдавать разрешения во время выполнения, менять защищённые настройки и выполнять код удалённо.
Нативная библиотека вредоносного ПО, обычно libeasy.so, расшифровывает встроенный APK с помощью RC4 и загружает привилегированный Java-фреймворк. Тот получает конфигурацию из инфраструктуры управления, в том числе с домена api.weatherlive.world, и загружает плагины второй и третьей ступеней. Плагины могут незаметно устанавливать и удалять полезную нагрузку, выдавать разрешения другим приложениям и загружать дополнительный код с удалённых серверов. Полезные нагрузки доставляются через плагины, предоставляемые через C2, и ресурсы, упакованные в APK.
Компонент отключает com.android.vending непосредственно перед бесшумной установкой полезной нагрузки, подавляет Google Play Protect на время установки, а затем снова включает его. Он также может имитировать Google Play в качестве пакета установщика, хотя у него нет метаданных frosting с подписью Google.
Полезные нагрузки и рекламное мошенничество
Основной способ монетизации связан с рекламным мошенничеством. Полезные нагрузки создают скрытые показы и синтетические клики, используя настраиваемые вероятности, целевые списки, дневные лимиты, управление временными интервалами и имитацию касаний. Защищённые рекламные поверхности скрывают эту активность от скриншотов и записей экрана. Сотрудничающие приложения обмениваются идентификаторами и взаимодействуют с тем же C2.
Полезные нагрузки маскируются под приложения для следующих задач:
- блокировки приложений, AppLock;
- прогноза погоды;
- управления файлами;
- распознавания текста с помощью OCR;
- настройки иконок;
- редактирования аудио.
Разрешения специальных возможностей (Accessibility), доступа к уведомлениям (Notification Access) и SMS многократно выдаются и отзываются. Во время анализа активного злоупотребления ими не зафиксировали. Эти разрешения могут обеспечивать мониторинг экрана, кражу уведомлений и SMS, управление интерфейсом и мошенничество с платными SMS.
Резидентные прокси и распространение
Другие полезные нагрузки подключают заражённые устройства к ботнету на базе резидентных прокси-серверов. Компонент прокси регистрирует отпечаток устройства и UUID, получает удалённые целевые хосты и порты и ретранслирует произвольный TCP-трафик в обоих направлениях. Это может привести к раскрытию локальных сетей или способствовать атакам, например DDoS.
В части исследованной выборки обнаружили прошивку, подписанную сертификатом Shenzhen Zediel. Имеющиеся доказательства не подтверждают, что владелец сертификата создал вредоносное ПО или осознанно распространял его.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
