חברת Bitdefender מדווחת על נוזקה בשם Midnight Mimosa שמגיעה מותקנת מראש בקושחה של טלפוני אנדרואיד זולים על שבבי MediaTek, ממספר יצרנים. הרכיב יושב במחיצת המערכת, ולכן המשתמש לא יכול להסיר אותו בדרך הרגילה.
הפרטים
לפי הדיווח, הרכיב (com.android.system.lite) פועל בהרשאות מערכת, מעניק לעצמו הרשאות נגישות, התראות ו-SMS, מושך הגדרות מרחוק וטוען מטענים נוספים. הוא משבית את Play Store לפני התקנת אפליקציות המטען, כנראה כדי להתחמק מ-Play Protect, ומשמש להונאת פרסומות והקשות, ולהפיכת המכשיר לצומת residential proxy ובוטנט.
רוב המכשירים הנגועים נמצאו במקסיקו, ולצידה צרפת, איטליה, ארה"ב, גרמניה, ברזיל ועוד. בנוסף זוהו 13 אפליקציות ב-Google Play שמתקשרות עם אותם שרתי שליטה, כך שהקמפיין חורג מהקושחה. חלק מהמכשירים נחתמו בתעודות המקושרות לחברה Shenzhen Zediel; לא ברור אם החברה ידעה על הנוזקה. יש חפיפה בתשתית לקמפיין Android.Phantom של Doctor Web, ודמיון לדלת האחורית Keenadu של Kaspersky.
נקודות לשים לב
- אם הארגון מאפשר מכשירי אנדרואיד זולים שאינם ממותגים (BYOD), בדוק אילו דגמים בשימוש ואל תתיר אותם לגישה לנתוני ארגון.
- הסרה רגילה לא עובדת: הפתרון הוא החלפת קושחה, או השבתת הרכיב דרך ADB, וזה מעבר ליכולת של רוב המשתמשים. החלפת המכשיר היא האפשרות הפשוטה.
- עקוב אחר תעבורת רשת חריגה מהמכשירים, כולל תעבורת פרוקסי, ובדוק אם Play Store מושבת ללא סיבה.
- המקור לא מפרט דגמים או מותגים ספציפיים, ולכן אי אפשר לקבוע מרשימה אם מכשיר מסוים חשוף; פנה ליצרן ולמקור הרכישה.
מקורות: The Hacker News · Bitdefender Labs
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
