Румынская компания Bitdefender обнаружила вредоносное ПО в прошивках китайских Android‑смартфонов на платформе MediaTek. Оно показывает рекламу, накручивает клики и перенаправляет трафик.
Вредоносное ПО, которое получило название Midnight Mimosa, предустановлено в бюджетных моделях смартфонов, таких как Doogee S200 X и Cubot KINGKONG X, а также в поддельных Samsung Galaxy и iPhone. Заражённые устройства найдены более чем в 150 странах, больше всего в Мексике, Франции, Италии, США, Германии, Бразилии и Испании.
Вредоносные компоненты маскируются под системные приложения (com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot) и подписаны сертификатом платформы. Главная цель таких приложений — рекламное мошенничество. Они используют настоящий рекламный SDK и загружают реальные объявления, но не показывают их пользователю. Вместо этого приложения открывают невидимые окна поверх других программ, а рекламные сети засчитывают такие показы как настоящие. Некоторые приложения также автоматически нажимают на объявления, увеличивая число кликов.
По данным исследователей, Midnight Mimosa перед установкой дополнительных вредоносных модулей временно отключает Google Play для обхода Google Play Protect. Кроме того, в Midnight Mimosa нашли TCP‑прокси, позволяющий направлять сетевой трафик через заражённые смартфоны. Злоумышленники могут использовать интернет‑соединения жертв для своих операций или продавать доступ к таким устройствам в качестве прокси другим злоумышленникам.
По данным Bitdefender, часть заражённых прошивок подписана сертификатами китайской Shenzhen Zediel, которая выпускает умную технику и бытовую электронику. В компании отмечают, что это не доказывает причастность Shenzhen Zediel к созданию или распространению вредоносного ПО. По мнению исследователей, его мог добавить производитель устройства, разработчик прошивки, логистический партнёр или другой посредник.
