Кампания, наречена Midnight Mimosa, привлича вниманието към проблем, който е лесно да се пропусне при пазаруване на бюджетен телефон: устройството може да пристигне вече компрометирано. Според доклада на GBHackers, Midnight Mimosa е широко разпространена Android malware кампания, която превръща евтините смартфони в машини за рекламни измами. Случаят е ясен пример за това как предварително инсталиран Android malware може да изгради прокси ботнет от устройствата на обикновени хора без тяхно знание.

Публичното резюме е кратко, затова тази публикация се придържа към това, което е докладвано, и обяснява по-широката механика в общи линии. Когато подробностите за кампанията не са потвърдени, ние го казваме.

Как Midnight Mimosa отвлича евтини Android телефони

Ключовият момент в репортажа е, че кампанията е насочена към евтини смартфони и ги използва за рекламни измами. Предложеният ъгъл за тази история, и начинът, по който този клас заплахи обикновено работи, е, че зловредният код присъства на устройството, преди собственикът дори да го включи. Това е различно от обичайния съвет да избягвате съмнителни приложения, защото купувачът не е направил нищо грешно.

Предварително инсталираният malware обикновено е ефективен за атакуващите по няколко причини:

  • Може да бъде вграден във фърмуера или в приложения на системно ниво, така че може да оцелее след фабрично нулиране.
  • Не се нуждае от одобрение от потребителя за изтегляне или от кликване върху лош линк.
  • Работи тихо на заден план, така че може да няма очевиден признак за проблем.

Резюмето на източника не уточнява кои марки, модели или стъпки от веригата за доставки са involved, така че не можем да кажем кои телефони са засегнати. Читателите трябва да се отнасят с внимание към всяко твърдение за конкретни модели, докато изследователите не ги публикуват.

Как residential прокси мрежите превръщат вашата връзка в изходен възел на някой друг

Прокси ботнетът работи, като отдава под наем заразени устройства като релейни точки. Вместо собственият сървър на атакуващия да прави заявка, трафикът се маршрутизира през телефона и излиза през домашната или мобилната връзка на собственика. За уебсайта от другата страна заявката изглежда идва от нормален човек на нормален ISP.

Това е ценно за рекламните измами. Фалшивите рекламни импресии и кликове са много по-трудни за филтриране, когато изглежда, че произхождат от много реални residential и мобилни адреси. Телефонът става неволен работник в схемата.

За собственика последствията могат да включват:

  • Необяснимо използване на данни, защото трафикът на непознати консумира вашия план или честотна лента.
  • Риск за репутацията, тъй като активност, която излиза от вашия IP адрес, може да бъде приписана на вас, например маркиране или блокиране от услуги.
  • По-бавна производителност и по-бързо изтощаване на батерията, тъй като устройството върши работа, която никога не сте искали.
  • Потенциална експозиция, защото устройство, което изпълнява скрит код със системни привилегии, може да прави повече от едната задача, за която е докладвано.

Последната точка е общ риск, а не потвърдена констатация за Midnight Mimosa.

Защо една VPN не може да защити компрометирано устройство

VPN са полезни инструменти, но имат конкретна задача: криптират трафика между вашето устройство и VPN сървъра и скриват вашия IP адрес от сайтовете, които посещавате. Те предполагат, че самото устройство е надеждно.

Ако malware вече работи с дълбок достъп на телефона, той стои от страната на устройството на този криптиран тунел. Може да работи извън защитата на VPN или дори да маршрутизира собствения си трафик по начини, които потребителят никога не вижда. Една VPN не премахва код на ниво фърмуер и не спира заразено устройство да бъде включено като прокси възел.

Ето защо цялостта на устройството и мрежовата поверителност са отделни проблеми. Една VPN може да намали това, което вашият ISP или оператор на публичен Wi-Fi вижда. Тя не може да направи един ненадежден телефон надежден. За поглед към това как откраднати или изложени данни създават различен вид риск, вижте нашето отразяване на твърденията за изтичане на KYC данни при breached на SBI, където проблемът беше при държателя на данни, а не при устройството на потребителя.

Как да проверявате бюджетни телефони и да забележите скрита прокси активност

Не е нужно да избягвате достъпните телефони напълно, но няколко навика намаляват риска.

Преди да купите:

  • Купувайте от установени търговци и доставчици, които могат да документират своя фърмуер и политика за актуализации.
  • Бъдете внимателни с цени, които изглеждат твърде ниски, за да имат смисъл, или с продавачи без ясен канал за поддръжка.
  • Проверете дали телефонът е сертифициран да работи с услугите на Google и получава редовни актуализации за сигурност.

След като купите:

  • Прегледайте списъка с приложения, включително системните, за всичко, което не разпознавате. Имайте предвид, че някои зловредни компоненти се крият под общи имена.
  • Погледнете използването на данни по приложения в настройките. Тежко използване на заден план от непознато приложение е предупредителен знак.
  • Следете за необяснимо изтощаване на батерията, нагряване в режим на покой или план за данни, който свършва преждевременно.
  • Избягвайте инсталирането на неофициален или фърмуер на трети страни от непроверени източници.

Какво означава това за вас

Ако притежавате евтин Android телефон, Midnight Mimosa е напомняне да проверявате самото устройство, а не само приложенията, които инсталирате. Рискът не се ограничава до вашите собствени данни: вашата връзка може да бъде използвана за пренасяне на трафика на други хора и за извършване на измами. Тъй като една VPN не може да поправи компрометиран телефон, третирайте я като един слой защита, а не като лек.

Ако откриете признаци на скрита активност, спрете да използвате телефона за чувствителни задачи като банкиране, сменете важните пароли от друго надеждно устройство и се свържете с производителя или продавача. Замяната на телефона с такъв от доставчик, който предоставя проверен фърмуер, може да е единственото надеждно решение.

Ключови изводи

  • Одитирайте текущия си телефон тази седмица: проверете използването на данни, инсталираните и системните приложения и всеки неофициален фърмуер.
  • Купувайте от доставчици с проверен фърмуер и ясна политика за актуализации за сигурност.
  • Не разчитайте на VPN, за да защитите устройство, което може вече да е заразено.
  • Използвайте надеждно второ устройство, за да смените паролите, ако подозирате компрометиране.

Предварително инсталираният Android malware, който изгражда прокси ботнет, е проблем на веригата за доставки и най-добрата защита започва при покупката. За повече информация относно защитата на вашите устройства и разбирането какво може и какво не може да направи една VPN, разгледайте ръководствата за VPN и сигурност на устройства в vpn.social.