Beveiligingsbedrijf Bitdefender heeft een malwarecampagne blootgelegd die het Midnight Mimosa noemt en die al in de firmware van goedkope Android-smartphones zit op het moment dat klanten ze kopen. Het gaat vooral om budgettoestellen met MediaTek-chipsets, zoals de Doogee S200 X en de Cubot KINGKONG X, en om nepmodellen die zich voordoen als Samsung- of Apple-telefoons. Volgens Bitdefender zijn de afgelopen twee jaar duizenden apparaten in meer dan 150 landen getroffen, met de meeste slachtoffers in Mexico, Frankrijk, Italië, de Verenigde Staten, Duitsland, Brazilië en Spanje. Wie de malware in de toeleveringsketen heeft ingebouwd en wanneer precies, is onbekend. De fabrikanten hebben daar geen duidelijkheid over gegeven.
De kwaadaardige code doet zich voor als systeemonderdeel van Android, met pakketnamen als com.android.system.lite, com.android.sys.prot en com.android.sys.gmsprot. Omdat de pakketten ondertekend zijn en met verhoogde systeemrechten draaien, is gewoon verwijderen niet mogelijk. Bitdefender ontdekte de campagne via zijn eigen anomaliedetectietechnologie, die opmerkte dat com.android.system.lite in stilte apps installeerde en weer verwijderde. Dat systeemonderdeel haalt modules op van command-and-control-servers. Bitdefender telde zo’n 32 apps binnen dit framework, variërend van weer-apps tot bestandsbeheerders, app-lockers en audio-editors.
Die apps tonen advertenties via een op zich legitieme advertentie-SDK, vaak in verborgen vensters of met geautomatiseerde kliks, zonder dat de eigenaar van het toestel er iets van merkt. Om detectie te voorkomen schakelt de malware de Google Play Store tijdelijk uit tijdens de installatie, zodat Google Play Protect niet ingrijpt, en zet de store daarna weer aan. Sommige varianten vervalsen ook de installatiegegevens, zodat het lijkt of een app gewoon via Google Play is geïnstalleerd.
Verontrustender is een derde functie: een van de meegeleverde apps, een app-locker, bevat een proxycomponent die het toestel aanmeldt bij een command-server. Die server kan het toestel vervolgens gebruiken om internetverkeer van anderen door te sluizen, een zogeheten residential proxy. Daarmee kunnen criminelen hun eigen herkomst verbergen of via het geïnfecteerde toestel bij apparaten in hetzelfde netwerk komen. Bitdefender zag dat deze proxy-infrastructuur actief was en registraties accepteerde, maar kon op het eigen testtoestel niet bevestigen dat er daadwerkelijk verkeer werd doorgestuurd. Het bedrijf vond daarnaast 13 apps in de Google Play Store zelf met dezelfde advertentiefraudecode, verspreid via minstens twee ontwikkelaarsaccounts en dertien verschillende ondertekeningscertificaten. Die apps hebben geen verhoogde rechten, maar kunnen wel buiten de app om advertenties tonen, ook als het toestel niet in gebruik is.
Verwijderen is voor gewone gebruikers vrijwel onmogelijk: het vereist opschoning op firmwareniveau of het uitschakelen van het kwaadaardige onderdeel via Android Debug Bridge, iets wat de meeste mensen niet zelf kunnen. Voor Nederlandse lezers is de praktische les simpel: wees terughoudend met zeer goedkope, onbekende Android-merken, zeker als werktoestel. Controleer bij een budgettoestel of de fabrikant firmware-updates uitbrengt en installeer die, en overweeg bij blijvende twijfel een fabrieksreset met een firmware-image rechtstreeks van de fabrikant.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt een medewerker bij jou een onbekend budget-Android-merk, bijvoorbeeld als eigen toestel voor werk-apps? Dat is precies het type telefoon waar deze malware in zit. Koop zakelijke toestellen bij gevestigde merken met een duidelijk updatebeleid, en wees sowieso terughoudend met zeer goedkope, onbekende Android-modellen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.