Исследователи в сфере кибербезопасности обнаружили в прошивках некоторых новых Android-смартфонов с процессорами MediaTek вредоносное программное обеспечение Midnight Mimosa. Оно незаметно устанавливает приложения и может превратить телефон в узел ботнета — сети устройств, которую преступники используют для атак на сайты, рассылки спама и сокрытия своих действий в интернете.
Как обнаружили вирус в новых Android-смартфонах
Расследование началось после того, как специалисты по кибербезопасности заметили подозрительную активность системного приложения com.android.system.lite. Это приложение самостоятельно получало доступ к уведомлениям и специальным возможностям Android, а также незаметно устанавливало и удаляло другие программы.
Специалисты выяснили, что вредоносный компонент был встроен в прошивку и маскировался под обычную службу с названием System. У него не было значка на экране, поэтому пользователь мог даже не подозревать о его существовании. Дальнейший анализ показал, что тот же вредоносный код встречался и под другими названиями.
Следы Midnight Mimosa были обнаружены на тысячах устройств более чем в 150 странах. Больше всего случаев зафиксировали в Мексике, Франции и Италии, а также в США, Германии, Бразилии и Испании.
Какие смартфоны оказались заражены
Среди зараженных смартфонов чаще всего встречались две модели: Doogee S200 X и Cubot KINGKONG X. В расследовании также встречались дешевые подделки под популярные смартфоны Samsung и Apple. Например, некоторые устройства выдавали себя за Galaxy S24 Ultra, S25 Ultra, iPhone 16 и 17 Pro Max. При этом речь идет именно о подделках, а не об оригинальных телефонах этих производителей. Полный список зараженных партий и версий прошивок неизвестен.
О заражении похожим вредоносным ПО сообщали и владельцы других моделей. Например, пользователь Doogee Fire 3 Max рассказал на форуме XDA, что подозрительная программа появилась на телефоне после обновления прошивки. При возврате к предыдущей версии программа исчезала, а после повторного обновления появлялась снова.
Как вредоносная программа попала в прошивку и что могла сделать без ведома владельца
Пользователь покупал смартфон с уже установленной прошивкой. Вредоносный компонент Midnight Mimosa был встроен в нее еще до покупки телефона. Возможно, он попал в прошивку при ее разработке, а возможно — при сборке производителем смартфонов или сторонним подрядчиком.
Так как у Midnight Mimosa были системные права, программа могла получать команды с удаленного сервера, загружать дополнительный код и управлять приложениями без согласия владельца. Специалисты по кибербезопасности обнаружили не менее 32 программ, которые вирус скрытно устанавливал на зараженные устройства. Среди них были утилиты для прогноза погоды, блокировки приложений, работы с заметками и файлами.
Чтобы скрыть установку, вредоносный код временно отключал Google Play Store, через который работает защитный механизм Google Play Protect. После завершения процесса магазин снова включался. Предположительно, так злоумышленники пытались обойти проверку безопасности.
Кроме того, опасный компонент мог самостоятельно получать доступ к уведомлениям, SMS и специальным возможностям Android, позволяющим управлять интерфейсом телефона. Но специалисты не зафиксировали использования этих разрешений для чтения переписки или перехвата сообщений.
Как злоумышленники зарабатывают на скрытой рекламе
Один из способов заработка связан с мошенничеством в интернет-рекламе. Установленные приложения загружали настоящие рекламные объявления, а вредоносный код имитировал их просмотры и нажатия. Реклама могла запускаться поверх других окон, в том числе при включении экрана, или обрабатываться в скрытом режиме.
Для рекламной сети такая активность выглядела как действия обычного пользователя. В результате система могла засчитывать фиктивные показы и клики, за которые организаторы схемы рассчитывали получать вознаграждение. При этом владелец смартфона мог не видеть объявления и не замечать подозрительную активность.
Как зараженный телефон превращается в часть ботнета
Еще одна функция Midnight Mimosa позволяла использовать смартфон как прокси-сервер для передачи чужого интернет-трафика. Через подключение владельца злоумышленники могли отправлять запросы на разные сайты. При этом создавалось впечатление, что запросы исходят с IP-адреса зараженного телефона.
Таким образом, смартфон мог стать частью ботнета — сети устройств, которыми злоумышленники управляют удаленно. Такие сети используют, например, для сокрытия источника подозрительного трафика и проведения DDoS-атак, при которых множество запросов перегружают сайты и серверы. Для владельца это создает риск дополнительного расхода мобильного трафика и использования его IP-адреса в чужих операциях.
Хотя специалисты по кибербезопасности подтвердили наличие прокси-модуля во вредоносном ПО, во время проверки передачу чужого трафика они не обнаружили.
Почему антивирус и сброс настроек могут не помочь
Антивирус способен обнаружить подозрительную активность и удалить вредоносные приложения. Но в случае Midnight Mimosa источник заражения находится непосредственно в прошивке смартфона. Поэтому даже после удаления опасных программ системныйкомпонент остается на месте и может установить их повторно.
Сброс к заводским настройкам тоже не гарантирует решения проблемы. Он удаляет личные данные и приложения пользователя, но не заменяет системные файлы Android. То есть после сброса телефон может остаться зараженным. Для устранения такой угрозы требуется исправленная прошивка от производителя. Если обновления нет или смартфон оказался подделкой, нужно обратиться к продавцу с требованием возврата или замены устройства.
Как понять, что Android-смартфон может быть заражен
Некоторые вредоносные программы работают незаметно, но иногда заражение можно заподозрить по изменениям в работе телефона. Например, без ведома владельца появляются неизвестные приложения, на экране возникает навязчивая реклама, аккумулятор быстро разряжается, устройство перегревается или расходует больше мобильного интернета, чем обычно. Также возможны замедление работы и неожиданные сбои. Если заметили подобные признаки, проверьте свой телефон на наличие угроз с помощью антивируса.
Защитите Android-смартфон от вредоносных приложений
Kaspersky Premium можно установить на смартфон с Android. Решение проверяет устройство на наличие вредоносных программ, защищает от новых угроз в режиме реального времени и блокирует опасные ссылки.
Попробовать Kaspersky Premium бесплатноЧто делать владельцам подозрительных смартфонов
Если есть подозрения, что телефон заражен, важно проверить его состояние и защитить личные данные. Не используйте такие устройства для банковских операций и других действий с конфиденциальной информацией, пока не установите причину подозрительной активности.
Действуйте следующим образом:
- Проверьте список установленных приложений, в том числе системных, и разрешения, которые они получили. Обратите внимание на расход трафика и дату последнего обновления безопасности Android. Также проверьте телефон на вредоносные программы с помощью защитного ПО.
- Защитите личные данные. Сохраните фотографии и документы, но не переносите неизвестные приложения на другой телефон. Проверьте историю входов в важные аккаунты. Если заметите входы с незнакомых устройств, завершите эти сеансы и смените пароли.
- Обратитесь к производителю или продавцу. Уточните, выпущена ли исправленная прошивка для вашей модели. Если устранить заражение не удается, узнайте у продавца о возможности возврата или замены смартфона.
Не пытайтесь самостоятельно перепрошивать телефон с помощью файлов из непроверенных источников. Они могут содержать другой вредоносный код или привести к сбоям в работе устройства.
Как избежать покупки зараженного смартфона
При выборе смартфона обратите внимание на производителя. Проверьте, есть ли у него официальный сайт, техническая поддержка и регулярные обновления Android.
Покупайте устройства у проверенных продавцов. Особенно осторожно относитесь к предложениям, где популярный флагман стоит подозрительно дешево: среди зараженных смартфонов встречались и подделки под известные бренды.
Еще один критерий безопасности — сертификация Google Play Protect.
Проверить статус можно в Google Play. Для этого откройте меню профиля, перейдите в «Настройки» → «О приложении» и найдите пункт «Сертификация Play Protect». Если телефон не сертифицирован, уточните причину у производителя или продавца. По возможности сделайте такую проверку до покупки.
По требованиям Google сертифицированные устройства проходят проверку совместимости с Android и должны поставляться без предустановленного вредоносного ПО. Однако сертификат не гарантирует полной защиты от заражения.
Статьи и ссылки по теме:
- Как удалить вирус с телефона Android?
- Как обнаружить вредоносную программу на смартфоне или планшете на базе Android и защитить устройство от угрозы?
- Нужен ли антивирус на Android? Что должен знать каждый пользователь телефона
Рекомендуемые продукты:
