Дешеві Android-смартфони постачаються з прошитим проксі-шкідником

Бюджетний смартфон з Android може приїхати до вас уже заражений. Дослідники Bitdefender описали кампанію Midnight Mimosa: шкідливий код сидить у системному розділі прошивки, тож видалити його звичайним способом не вдасться. За два роки він потрапив на тисячі пристроїв більш ніж зі 150 країн.

Які телефони під ударом

У звіті та на форумах XDA прямо названо Doogee S200 X, Cubot KINGKONG X і Doogee Fire 3 Max. Усі вони працюють на чипах MediaTek. Частина зараженої техніки видає себе за пристрої Samsung та Apple, тому ціна й бренд на коробці нічого не гарантують. Найбільше жертв у Мексиці, Франції, Італії, США, Німеччині, Бразилії та Іспанії. Хто саме змінив прошивку, невідомо: її підписано сертифікатами, пов’язаними з компанією Shenzhen Zediel, але Bitdefender не стверджує, що вона причетна.

Що шкідник робить

Усе починається із системного застосунку com.android.system.lite. Він має системні права, тому без вашого відома встановлює й видаляє інші програми, видає їм дозволи та завантажує код із серверів керування. Дослідники нарахували близько 32 застосунків-прикриттів: «погода», файловий менеджер, блокувальник програм, OCR, аудіоредактор.

Основний заробіток — рекламне шахрайство: прикриття показують справжню рекламу, інколи у прихованих вікнах, і самі по ній «клікають». Щоб обійти Google Play Protect, шкідник на час інсталяції вимикає Play Маркет, а тоді вмикає знову. Деякі варіанти ще й підробляють запис про джерело, і програма здається встановленою з Google Play.

Одна з програм, фальшивий блокувальник com.mobile.applock.en, містить TCP-проксі. Телефон реєструється на сервері керування, і той може пускати через нього чужий трафік під вашою IP-адресою. Реальне перенаправлення Bitdefender підтвердити не змогла: тестовий пристрій не отримав жодної цілі.

Що робити власникам

Зайдіть у «Налаштування → Програми» і пошукайте пакети com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.non.szcz та com.mobile.applock.en. Якщо вони є, а ви їх не ставили, телефон, імовірно, заражений.

Видалення зазвичай потребує чистої прошивки або вимкнення компонента через ADB. Деякі виробники вже випустили виправлені оновлення; один власник повідомив, що відкат на стару прошивку прибрав шкідник, а повторне оновлення повернуло його.

До виправлення не заходьте з такого телефона в банківські застосунки й не зберігайте на ньому паролі. Антивірус допоможе знайти підозрілі пакети, наприклад Dr.Web Light, але з прошивки він шкідник не прибере. Про те, чого від захисних програм чекати, ми писали в матеріалі про надійний безкоштовний антивірус. А наступний смартфон за копійки краще брати в бренду, який публікує оновлення безпеки.