#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Midnight Mimosa — это вредоносная кампания для Android, предустановленная в прошивке устройства, что обеспечивает ей закрепление и привилегии на системном уровне. Она использует плагины, доставляемые через C2, для установки полезных нагрузок, совершения мошенничества с рекламой и подключения устройств к ботнету на базе домашних прокси, а также позволяет злоупотреблять разрешениями, осуществлять Удаленное Выполнение Кода, а также потенциально красть данные или управлять интерфейсом.
-----

Кампания Midnight Mimosa предполагает использование предустановленного на Android вредоносного ПО, встроенного в прошивку устройства до его продажи. Его основной компонент, как правило, упаковывается в виде `com.android.system.lite` или связанных вариантов `com.android.sys.*`, и представляет собой системное приложение с подписью платформы, скрытой иконкой, постоянным выполнением и привилегиями системного UID. Поскольку он размещается в системном разделе, пользователи обычно не могут его удалить. Приложение обладает возможностями, включая установку и удаление пакетов, предоставление разрешений во время выполнения, изменение защищенных настроек и Удаленное Выполнение Кода.

Нативная библиотека ВПО, обычно `libeasy.so`, расшифровывает встроенный APK с использованием RC4 и загружает привилегированный Java-фреймворк. Этот фреймворк получает конфигурацию из инфраструктуры управления, включая `api.weatherlive.world`, и загружает плагины второй и третьей ступеней. Плагины могут незаметно устанавливать и удалять полезную нагрузку, предоставлять разрешения другим приложениям и загружать дополнительный удалённый код. Разрешения Accessibility, Notification Access и SMS многократно выдаются и отзываются; хотя во время анализа не было зафиксировано их активного злоупотребления, они могут обеспечивать мониторинг экрана, кражу уведомлений и SMS, управление интерфейсом и мошенничество с платными SMS.

Доставка полезной нагрузки контролируется с помощью плагинов, предоставляемых через C2, и упакованных ресурсов APK. Полезные нагрузки включают маскированные под приложения AppLock, прогноз погоды, управления файлами, OCR, иконок и редактирования аудио. Системный компонент отключает `com.android.vending` непосредственно перед бесшумной установкой полезной нагрузки, подавляет Google Play Protect в течение окна установки, а затем снова активирует его. Он также может имитировать Google Play в качестве пакета установщика, несмотря на отсутствие метаданных «frosting» с подписью Google.

Основной вид монетизации — мошенничество с рекламой. Полезные нагрузки генерируют скрытые показы и синтетические клики с использованием настраиваемых вероятностей, целевых списков, дневных лимитов, управления временными интервалами и имитации точек касания. Защищенные рекламные поверхности скрывают эту активность от скриншотов и записей экрана, а сотрудничающие приложения обмениваются идентификаторами и взаимодействуют с тем же C2. Другие полезные нагрузки подключают зараженные устройства к ботнету на базе резидентных прокси. Компонент прокси регистрирует отпечаток устройства и UUID, получает удаленные целевые хосты и порты и ретранслирует произвольный TCP-трафик в обоих направлениях, что потенциально может привести к раскрытию локальных сетей или содействовать атакам, таким как DDoS.

ВПО обнаруживалась на бюджетных, поддельных и брендовых устройствах Android, распространяемых по всему миру. В части выборки присутствует прошивка, подписанная сертификатом Shenzhen Zediel, однако имеющиеся доказательства не подтверждают, что владелец сертификата создал ВПО или осознанно распространял её. Аналогичный код, связанный с мошенничеством в сфере рекламы, также был выявлен в тринадцати приложениях в Google Play, что свидетельствует о наличии отдельных каналов распространения через прошивки и официальный магазин.