Смартфоны со встроенным вредоносным кодом нашли в 150 странах
3 мин
57
Бюджетные смартфоны с заражённой прошивкой распространялись около двух лет и продавались в 150 странах. Как выяснили исследователи из Bitdefender, вредонос Midnight Mimosa предустановлен, подписан системным ключом и имеет максимальные права. Зловред активен до первого включения устройства. Скрытый com.android.system.lite через libeasy.so расшифровывает код, незаметно устанавливает и удаляет приложения, выдаёт разрешения и загружает модули. Оператор может включить доступ к Accessibility, уведомлениям и СМС.
Предустановленный на смартфонах вредонос позволяет злоумышленникам получать доход. Его приносят поддельные погодные информеры, AppLock, приложения заметок и OCR с настоящими рекламными SDK. Сети приписывают им доход, не видя системного координатора. Плагин wz имитирует клики и показы: удалённая конфигурация задаёт долю автокликов и смещение координат, отчёт о конверсии отправляется через 60 секунд. Лимиты маскируют накрутку.
Параллельно com.mobile.applock.en превращает телефоны в резидентские прокси: регистрирует узлы с уникальными номерами и по TCP через порт 6000 получает команды на туннели к целевым хостам.
Защита от анализа включает нативную библиотеку, зашифрованный блок и AES lля строк. Нагрузки поступают с сервера, модули маскируются под PNG с расширением .o, поэтому статический анализ малоэффективен.
Перед установкой Play Store отключается командой pm disable, затем включается снова. Источник установки подделывают под Google Play, но отсутствие серверной подписи frosting выдаёт подлог.
Сервер api.weatherlive.world задаёт модули и адреса загрузки; CDN — oss.showtimetool.com. Запросы защищены AES и HmacMD5. Пакеты и сертификаты меняются, но libeasy.so, cn.kw.lib.hex и управляющий домен остаются общими. Сертификат прошивки приписывается Shenzhen Zediel, но не доказывает её участия: внедрение возможно на любом этапе поставок. Встречаются региональные прошивки J10_EEA, подделки моделей Samsung S25/S24 Ultra и iPhone 17 Pro Max, реже — Doogee S200 X и Cubot KINGKONG X.
Больше всего заражённых устройств обнаружили в Западной Европе и Америке, особенно много — в Мексике, Франции и Италии. Случаи распространения смартфонов с вредоносом есть также в Африке, Юго-Восточной Азии и на Ближнем Востоке. Вероятно, они попали в эти регионы через международные маркетплейсы.
В Google Play найдены 13 приложений с аналогичным рекламным мошенничеством, которые прошли проверку безопасности. Они используют разные аккаунты и сертификаты, поэтому блокировка одного канала не закрывает другой.
Злоумышленники используют домены, связанные с распространением вредоносных программ Android.Joker в 2021 году и Android.Phantom в 2025 году. Это позволяет предположить, что за тремя кампаниями стоят одни и те же организаторы.
Обычное удаление не помогает избавиться от вредоноса. Для этого нужны перепрошивка или отключение через ADB. Системное решение зависит от производителей и маркетплейсов.
Россия не входит в десятку стран с наибольшим распространением заражённых смартфонов, однако упомянутые в исследовании устройства доступны и российским покупателям. По данным CNews, Cubot KINGKONG X и другие модели продаются на крупнейших маркетплейсах в РФ. Риски также связаны с дешёвыми подделками Samsung Galaxy и Android-устройствами, имитирующими iPhone и iPad. Эксперты уточняют, что наличие модели на маркетплейсе само по себе не доказывает заражение каждого продаваемого экземпляра.
