Bitdefender нашла вредоносное ПО в прошивках Android-смартфонов на MediaTek

Вредоносное ПО под названием Midnight Mimosa предустановлено в бюджетных моделях смартфонов, включая Doogee S200 X и Cubot KINGKONG X, а также в поддельных Samsung Galaxy и iPhone. Заражённые устройства обнаружены более чем в 150 странах, больше всего в Мексике, Франции, Италии, США, Германии, Бразилии и Испании.

Вредоносные компоненты маскируются под системные приложения (com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot) и подписаны сертификатом платформы. Главная цель — рекламное мошенничество: приложения используют настоящий рекламный SDK и загружают реальные объявления, но не показывают их пользователю, а открывают невидимые окна поверх других программ, чтобы рекламные сети засчитывали показы. Некоторые приложения также автоматически нажимают на объявления.

По данным исследователей, Midnight Mimosa перед установкой дополнительных модулей временно отключает Google Play для обхода Google Play Protect. Кроме того, в ПО найден TCP-прокси, позволяющий направлять сетевой трафик через заражённые смартфоны. Часть заражённых прошивок подписана сертификатами китайской Shenzhen Zediel; в Bitdefender отмечают, что это не доказывает причастность компании к созданию или распространению вредоносного ПО.