Исследователи обнаружили масштабную кампанию Midnight Mimosa, которая как минимум два года тихо живёт на смартфонах брендов вроде Doogee, Cubot и подделках под Samsung в 150 странах мира. Малварь не нужно скачивать из сомнительных APK-файлов, она заботливо зашита в заводскую прошивку и работает прямо из коробки под видом системных компонентов вроде
com.android.system.lite с наивысшими правами в ОС.Удалить штатными средствами невозможно — на XDA владельцы Cubot и Doogee жалуются, что подозрительные приложения восстанавливаются даже после удаления, а один хозяин Doogee Fire 3 Max заразился после официального обновления прошивки, помог только откат.
Эта невидимая квартирантка ставит и сносит приложения без ведома владельца, выдаёт им новые разрешения и исполняет произвольный код от операторов. Около 32 вредоносных приложений распространяются через неё под видом погодников, файловых менеджеров, распознавателей текста и аудиоредакторов. Основная статья дохода — рекламное мошенничество. Программы используют легитимный рекламный SDK, загружают настоящие объявления, но показывают их не пользователю, а невидимым окнам поверх других программ. Рекламные сети засчитывают показы как честные, никто не видит баннер — все счастливы, кроме вас. Часть приложений ещё и накручивает клики сама.
Чтобы не попадаться Google Play Protect, малварь на время установки пейлоадов выключает сам Play (com.android.vending), а потом включает обратно. Отдельные варианты подменяют источник установки, выдавая вредоносные приложения за скачанные из официального магазина. А вишенка: внутри живёт TCP-прокси, через который можно гонять трафик жертв — смартфон превращается в резидентную прокси, доступ к которой операторы кампании могут продавать другим злоумышленникам.
Лечится только чистой прошивкой или ручным отключением компонентов через ADB.
🥸 godnoTECH - Новости IT