Компания «Лаборатория Касперского» выявила бэкдор Keenadu, интегрированный непосредственно в заводские прошивки Android-планшетов. Вредоносное ПО активируется сразу после первого запуска устройства и заражает все установленные приложения, включая браузеры и банковские клиенты.

Заражение осуществляется через цепочку поставок на стадии компиляции прошивки. Зафиксированы случаи заражения планшетов Alldocube, а также приложений в Google Play (более 300 тысяч загрузок) и магазине Xiaomi. В течение первых 2,5 месяцев бэкдор находится в неактивном состоянии, после чего начинает функционировать: имитирует клики по рекламным баннерам, модифицирует результаты поиска, добавляет товары в корзины интернет-магазинов, перехватывает запросы в браузере Chrome. Функциональные возможности также включают перехват сообщений, данных банковских приложений, геолокации и несанкционированную установку приложений.

Keenadu имеет связь с тремя другими крупными Android-ботнетами (Triada, BADBOX, Vo1d), что свидетельствует о существовании единой вредоносной экосистемы. Каждый из указанных ботнетов заразил более миллиона устройств.

Google Play Protect способен обнаруживать известные версии угрозы. Для устройств с зараженными прошивками единственным эффективным решением является полная перепрошивка, стандартными средствами операционной системы Android удаление Keenadu не представляется возможным.

Hacker's TOYS