Ucuz Android akıllı telefonların, cihazların donanım yazılımına gömülü zararlı yazılımla satışa çıktığı ortaya çıktı. Bu yazılım, saldırganların cihazlara gizlice uygulama kurmasına, reklam sahtekarlığı yapmasına ve telefonları konut vekiline (residential proxy) dönüştürmesine olanak tanıyor.
Çok sayıda markanın MediaTek platformu üzerine kurulu Android cihazlarını hedef alan bu faaliyeti Bitdefender, Midnight Mimosa adıyla izliyor.
Önceden yüklenmiş zararlı yazılım ("com.android.system.lite") sistem düzeyinde yetkilerle çalışıyor. Bu sayede uygulama kurup kaldırabiliyor, erişilebilirlik hizmetleri, bildirimler ve SMS için kendisine ek izinler verebiliyor ve operatörlerin uzaktan gönderdiği kodları yükleyebiliyor.
Yazılım önce harici bir sunucudan uzaktan yapılandırma bilgisi çekiyor, ardından reklam sahtekarlığı yapmak ve iş ortağı uygulamalarını sessizce kurmak ya da kaldırmak için tasarlanmış ek yükler indirip çalıştırıyor. Bu uygulamalar vekil yazılım, reklam sahtekarlığı ve kod çalıştırma özellikleri barındırıyor. Zararlı yazılım ayrıca herhangi bir Android uygulama paketine izin verebiliyor.
Rumen siber güvenlik şirketi, "Bu, operatörlerin istedikleri gibi uygulama kurup silebileceği, her cihazı kendi ihtiyaçlarına göre ayarlayabileceği ve cihazları büyük botnet'lerin parçası haline getirebileceği anlamına geliyor" dedi.
Şirkete göre "Bu plan büyük olasılıkla esas olarak gelir elde etmek için tasarlanmış. Operatörler reklam ve tıklama sahtekarlığı yapıyor, cihaz ve yüklü uygulama bilgilerini topluyor ve enfekte cihazları konut vekili aktarım düğümlerine çevirerek botnet'lerde zombi haline getiriyor."
Şunu vurgulamakta fayda var: Zararlı yazılımın kendisi sahte tıklama yapmıyor. Para kazanma işini, zararsız görünümlü yardımcı uygulamalar kılığına giren dropper uygulamaları yürütüyor. Bu uygulamalar, meşru bir reklam yazılım geliştirme kiti (SDK) üzerinden gerçek reklamlar yüklüyor. Nihai amaç, uygulamaların üzerine görünmez bir pencere açarak gösterilen reklamları kayda geçirmek.
Bitdefender, Google Play'de zararlı yazılımı kontrol eden sunucularla iletişim kuran 13 uygulama tespit ettiğini açıkladı. Bu da kampanyanın yalnızca donanım yazılımına önceden yüklenen bileşenle sınırlı olmadığını gösteriyor.
Zararlı yazılımın dikkat çekici bir yönü de, bir yük uygulaması kurmadan önce Google Play Store uygulamasını devre dışı bırakması. Bunun amacı büyük olasılıkla Play Protect korumalarını atlatmak; yük çalıştırıldıktan sonra uygulama yeniden etkinleştiriliyor.
Üstelik zararlı yazılım, donanım yazılımı Çinli Android cihaz üreticisi Shenzhen Zediel Co., Ltd'ye atfedilen sertifikalarla imzalanmış cihazlarda tespit edildi. Ancak bu aşamada sertifika sahibinin zararlı yazılımın dağıtımına dahil olup olmadığı ya da bundan haberdar olup olmadığı bilinmiyor. Bitdefender, soruşturma sırasında başka şirket adlarına da rastladığını belirtti.
Zararlı yazılımın önceden yüklenmiş olması, cihaz tedarik zincirinin ihlal edildiğine işaret ediyor. Bitdefender, altyapı düzeyinde Android.Phantom ile bazı örtüşmeler olduğuna dikkat çekiyor. Doctor Web'in belgelediği Android.Phantom, tıklama sahtekarlığı yapmak için modifiye edilmiş oyunların ve popüler uygulamaların içine yerleştirilmişti.
Enfekte cihazların büyük çoğunluğu Meksika'da bulunuyor. Onu Fransa, İtalya, ABD, Almanya, Brezilya, İspanya, İngiltere, Kanada, Romanya, Polonya ve Tayland izliyor.
Android cihazları hedef alan donanım yazılımı düzeyinde bir arka kapı ilk kez görülmüyor. Geçen yılın sonlarında Kaspersky, Android çalıştıran bazı tablet modellerine önceden yüklenmiş halde bulunan ve esas olarak reklam sahtekarlığına yarayan Keenadu kod adlı bir başka zararlı yazılımın ayrıntılarını açıklamıştı.
Bitdefender, "Önceden yüklenmiş zararlı yazılım farklı bir tehdit sınıfı" dedi ve ekledi: "Kullanıcıya dönük her savunma, cihaz sahibinin kurulum sürecinde devrede olduğunu varsayar: kurulum uyarısı, mağaza incelemesi, Play Protect ve sonrasında kaldırabilme imkânı."
"Temizlik, kaldırmaya dayanamaz. Kök bileşen sistem bölümünde geldiği için etkilenen kullanıcı onu normal yollarla kaldıramaz. Cihazı temizlemek, donanım yazılımı düzeyinde temizlik ya da bileşenin ADB üzerinden devre dışı bırakılmasını gerektirir; ikisi de bu telefonlara sahip çoğu kişi için gerçekçi değil. Kalıcı çözüm, etkilenen donanım yazılımını üreten ve satan üreticilerle pazar yerlerinin elinde."
