Kampaň s názvem Midnight Mimosa upozorňuje na problém, který lze při nákupu levného telefonu snadno přehlédnout: telefon může dorazit již kompromitovaný. Podle zprávy od GBHackers je Midnight Mimosa rozsáhlá malware kampaň pro Android, která mění levné smartphony na nástroje pro reklamní podvody. Tento případ je jasným příkladem toho, jak předinstalovaný malware pro Android může z běžných lidí a jejich zařízení vytvořit proxy botnet bez jejich vědomí.

Veřejné shrnutí je krátké, proto se tento příspěvek drží toho, co bylo reportováno, a vysvětluje širší mechaniku obecně. Tam, kde detaily o kampani nejsou potvrzené, to říkáme.

Jak Midnight Mimosa unáší levné telefony Android

Klíčovým bodem ve zprávě je, že kampaň cílí na levné smartphony a využívá je k reklamním podvodům. Navrhovaný úhel pohledu na tento příběh, a způsob, jakým tento typ hrozby obecně funguje, spočívá v tom, že škodlivý kód je na zařízení přítomen dříve, než ho majitel vůbec zapne. To se liší od obvyklé rady vyhýbat se pochybným aplikacím, protože kupující neudělal nic špatného.

Předinstalovaný malware bývá pro útočníky účinný z několika důvodů:

  • Může být zapečen do firmwaru nebo systémových aplikací, takže může přežít obnovení továrního nastavení.
  • Nevyžaduje, aby uživatel schválil stažení nebo klikl na škodlivý odkaz.
  • Běží tiše na pozadí, takže nemusí být žádný zjevný náznak problému.

Zdrojové shrnutí neuvádí, které značky, modely nebo kroky dodavatelského řetězce jsou zapojeny, proto nemůžeme říci, které telefony jsou postiženy. Čtenáři by měli jakékoli tvrzení o konkrétních modelech brát s opatrností, dokud je výzkumníci nezveřejní.

Jak rezidenční proxy sítě mění vaše připojení na výstupní uzel někoho jiného

Proxy botnet funguje tak, že pronajímá infikovaná zařízení jako relay body. Namísto toho, aby požadavek prováděl útočníkův vlastní server, je provoz směrován přes telefon a ven přes domácí nebo mobilní připojení majitele. Pro webovou stránku na druhé straně se požadavek jeví, jako by přicházel od normálního člověka na normálním ISP.

To je cenné pro reklamní podvody. Falešné zobrazení reklam a kliknutí je mnohem obtížnější filtrovat, když se zdá, že pocházejí z mnoha skutečných rezidenčních a mobilních adres. Telefon se stává nevědomým pracovníkem v tomto schématu.

Pro majitele mohou následky zahrnovat:

  • Nevysvětlitelné využití dat, protože provoz cizích lidí spotřebovává váš tarif nebo šířku pásma.
  • Riziko reputace, protože aktivita, která vychází z vaší IP adresy, může být připsána vám, například označení nebo zablokování službami.
  • Pomalejší výkon a rychlejší vybíjení baterie, protože zařízení dělá práci, o kterou jste nežádali.
  • Potenciální vystavení, protože zařízení, které spouští skrytý kód se systémovými oprávněními, může dělat více než jen jednu úlohu, pro kterou bylo hlášeno.

Poslední bod je obecné riziko, nikoli potvrzené zjištění o Midnight Mimosa.

Proč VPN nedokáže ochránit kompromitované zařízení

VPN jsou užitečné nástroje, ale mají specifickou úlohu: šifrují provoz mezi vaším zařízením a serverem VPN a skrývají vaši IP adresu před stránkami, které navštěvujete. Předpokládají, že zařízení samotné je důvěryhodné.

Pokud malware již běží s hlubokým přístupem na telefonu, sedí na straně zařízení tohoto šifrovaného tunelu. Může operovat mimo ochranu VPN, nebo dokonce směrovat svůj vlastní provoz způsoby, které uživatel nikdy nevidí. VPN neodstraňuje kód na úrovni firmwaru a nezastaví infikované zařízení v tom, aby bylo zařazeno jako proxy uzel.

To je důvod, proč jsou integrita zařízení a soukromí sítě oddělené problémy. VPN může omezit to, co vidí váš ISP nebo provozovatel veřejné Wi-Fi. Nedokáže však z nedůvěryhodného telefonu udělat důvěryhodný. Pro pohled na to, jak ukradená nebo exponovaná data vytvářejí jiný druh rizika, viz naše pokrytí tvrzení o úniku KYC při datovém breachi SBI, kde problém spočíval v držiteli dat, nikoli v uživatelově zařízení.

Jak prověřit levné telefony a odhalit skrytou proxy aktivitu

Nemusíte se úplně vyhýbat dostupným telefonům, ale několik návyků snižuje vaše riziko.

Před nákupem:

  • Nakupujte u zavedených prodejců a dodavatelů, kteří mohou doložit svůj firmware a politiku aktualizací.
  • Buďte obezřetní u cen, které se zdají být příliš nízké na to, aby dávaly smysl, nebo u prodejců bez jasného kanálu podpory.
  • Zkontrolujte, zda je telefon certifikován pro provoz služeb Google a dostává pravidelná bezpečnostní oznámení.

Po nákupu:

  • Projděte seznam aplikací, včetně systémových, a hledejte cokoli, co nepoznáváte. Všimněte si, že některé škodlivé komponenty se skrývají pod obecnými názvy.
  • Podívejte se na využití dat jednotlivých aplikací v nastavení. Velké využití na pozadí u neznámé aplikace je varovným signálem.
  • Sledujte nevysvětlitelné vybíjení baterie, zahřívání v nečinnosti nebo datový tarif, který se vyčerpá brzy.
  • Vyhněte se instalaci neoficiálního firmwaru nebo firmwaru třetích stran z neověřených zdrojů.

Co to pro vás znamená

Pokud vlastníte levný telefon Android, Midnight Mimosa je připomínkou, abyste zkontrolovali samotné zařízení, nejen aplikace, které instalujete. Riziko se neomezuje na vaše vlastní data: vaše připojení by mohlo být použito k přenášení provozu jiných lidí a k páchání podvodů. Protože VPN nedokáže opravit kompromitovaný telefon, berte ji jako jednu vrstvu ochrany, a ne jako lék.

Pokud najdete známky skryté aktivity, přestaňte telefon používat pro citlivé úkoly, jako je bankovnictví, změňte důležitá hesla z jiného důvěryhodného zařízení a kontaktujte výrobce nebo prodejce. Nahrazení telefonu zařízením od dodavatele, který poskytuje ověřený firmware, může být jediným spolehlivým řešením.

Klíčové poznatky

  • Proveďte tento týden audit svého současného telefonu: zkontrolujte využití dat, nainstalované a systémové aplikace a jakýkoli neoficiální firmware.
  • Nakupujte u dodavatelů s ověřeným firmwarem a jasnou politikou bezpečnostních aktualizací.
  • Nespoléhejte na VPN při ochraně zařízení, které už může být infikované.
  • Pokud máte podezření na kompromitaci, použijte důvěryhodné druhé zařízení ke změně hesel.

Předinstalovaný malware pro Android, který vytváří proxy botnet, je problém dodavatelského řetězce a nejlepší obrana začíná u nákupu. Více o ochraně vašich zařízení a o tom, co VPN umí a neumí, najdete v průvodcích o VPN a zabezpečení zařízení na vpn.social.