Дешёвые Android-смартфоны поступают в продажу с предустановленным вредоносом

Румынская компания Bitdefender сообщила о кампании, которую отслеживает под названием Midnight Mimosa. Вредоносный код оказался встроен прямо в заводскую прошивку недорогих Android-смартфонов, построенных на платформах MediaTek и выпускаемых под несколькими марками. Пользователь получает заражённое устройство сразу из коробки.

Что умеет вредонос

Программа (com.android.system.lite) работает с системными привилегиями. Это позволяет ей тайно устанавливать и удалять как минимум 32 замаскированных приложения, самостоятельно выдавать себе доступ к службам специальных возможностей, уведомлениям и SMS, а также загружать и исполнять произвольный код, который операторы присылают с удалённого сервера. Код подтягивает конфигурацию извне, после чего скачивает дополнительные модули.

По словам исследователей, операторы могут по своему усмотрению добавлять и убирать приложения, подстраивая каждое устройство под свои нужды, в том числе включая его в крупные ботнеты. Схема, судя по всему, заточена на извлечение дохода: рекламное и кликфрод-мошенничество, сбор данных об устройстве и установленных приложениях, а также превращение телефонов в узлы резидентных прокси-сетей.

Сам системный модуль кликами не занимается. Монетизацией заняты приложения-дропперы, которые притворяются безобидными утилитами и подгружают настоящую рекламу через легальный рекламный SDK. Поверх других приложений открывается невидимое окно, которое и фиксирует якобы показанную рекламу.

Не только прошивки

Bitdefender нашёл в Google Play 13 приложений, связанных с теми же управляющими серверами, — среди них погодные сервисы, сканеры QR-кодов и прочие утилиты. В отличие от прошивочного вредоноса, эти приложения действительно работают, но показывают рекламу за своими пределами, в том числе когда телефон не используется. Сейчас ни одно из них в магазине уже недоступно.

Примечательно, что вредонос отключает приложение Google Play перед установкой очередной полезной нагрузки — видимо, чтобы обойти Play Protect, — а затем включает его обратно.

Компрометация цепочки поставок

Часть заражённых устройств имела прошивки, подписанные сертификатами китайского производителя Shenzhen Zediel Co., Ltd., однако причастность владельца сертификата к распространению вредоноса не установлена. Инфраструктура частично пересекается с кампанией Android.Phantom, описанной «Доктором Вебом» в январе 2026 года.

Большинство заражённых устройств находится в Мексике, за ней следуют Франция, Италия, США, Германия, Бразилия и другие страны. За примерно два года вредонос замечен на тысячах уникальных устройств более чем в 150 странах; многие из них — дешёвые безымянные или поддельные телефоны, порой подражающие названиям Samsung Galaxy и даже iPhone.

Bitdefender подчёркивает: предустановленный вредонос — отдельный класс угроз. Обычные меры защиты исходят из того, что владелец присутствует в момент установки. Удалить корневой компонент из системного раздела штатными средствами нельзя — нужна перепрошивка или отключение через ADB, что недоступно обычному покупателю. Устранять проблему придётся производителям и торговым площадкам.

Источник: The Hacker News