Eine Kampagne namens Midnight Mimosa lenkt die Aufmerksamkeit auf ein Problem, das beim Kauf eines günstigen Handys leicht übersehen wird: Das Telefon kann bereits kompromittiert ankommen. Laut dem Bericht von GBHackers ist Midnight Mimosa eine weit verbreitete Android-Malware-Kampagne, die preiswerte Smartphones in Werbebetrugsmaschinen verwandelt. Der Fall ist ein klares Beispiel dafür, wie vorinstallierte Android-Malware aus den Geräten gewöhnlicher Menschen ohne deren Wissen ein Proxy-Botnetz aufbauen kann.

Die öffentliche Zusammenfassung ist kurz, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und erklärt die allgemeinen Mechanismen in allgemeinen Begriffen. Wo Details über die Kampagne nicht bestätigt sind, sagen wir das.

Wie Midnight Mimosa billige Android-Telefone kapert

Der Kernpunkt der Berichterstattung ist, dass die Kampagne auf preiswerte Smartphones abzielt und sie für Werbebetrug nutzt. Der naheliegende Blickwinkel für diese Geschichte – und die Art und Weise, wie diese Art von Bedrohung im Allgemeinen funktioniert – ist, dass der Schadcode bereits auf dem Gerät vorhanden ist, bevor der Besitzer es überhaupt einschaltet. Das unterscheidet sich von der üblichen Empfehlung, dubiose Apps zu vermeiden, denn der Käufer hat nichts falsch gemacht.

Vorinstallierte Malware ist für Angreifer aus mehreren Gründen tendenziell effektiv:

  • Sie kann in die Firmware oder in Apps auf Systemebene eingebettet sein, sodass sie einen Werksreset überstehen kann.
  • Sie benötigt keine Zustimmung des Nutzers zu einem Download und keinen Klick auf einen schädlichen Link.
  • Sie läuft leise im Hintergrund, sodass es möglicherweise keine offensichtlichen Anzeichen für Probleme gibt.

Die Quellzusammenfassung enthält keine Details dazu, welche Marken, Modelle oder Lieferketten-Schritte beteiligt sind, daher können wir nicht sagen, welche Telefone betroffen sind. Leser sollten jede Behauptung über bestimmte Modelle mit Vorsicht behandeln, bis Forscher sie veröffentlichen.

Wie Residential-Proxy-Netzwerke Ihre Verbindung zum Exit-Knoten für andere machen

Ein Proxy-Botnetz funktioniert, indem es infizierte Geräte als Relay-Punkte vermietet. Statt dass der eigene Server des Angreifers eine Anfrage stellt, wird der Datenverkehr durch das Telefon und über die Heim- oder Mobilfunkverbindung des Besitzers geleitet. Für die Website am anderen Ende scheint die Anfrage von einer normalen Person bei einem normalen ISP zu kommen.

Das ist wertvoll für Werbebetrug. Gefälschte Ad-Impressions und Klicks sind viel schwerer zu filtern, wenn sie scheinbar von vielen echten privaten und mobilen Adressen stammen. Das Telefon wird zum unwissenden Helfer im Schema.

Für den Besitzer können die Folgen Folgendes umfassen:

  • Ungeklärte Datennutzung, weil der Datenverkehr Fremder Ihr Datenvolumen oder Ihre Bandbreite verbraucht.
  • Reputationsrisiko, da Aktivitäten, die von Ihrer IP-Adresse ausgehen, Ihnen angelastet werden können, etwa durch Markierungen oder Sperrungen durch Dienste.
  • Langsamere Leistung und schnellerer Akkuverbrauch, da das Gerät Arbeit verrichtet, die Sie nie angefordert haben.
  • Mögliche Exposition, da ein Gerät, das versteckten Code mit Systemrechten ausführt, mehr tun kann als die eine Aufgabe, über die berichtet wurde.

Der letzte Punkt ist ein allgemeines Risiko, keine bestätigte Erkenntnis über Midnight Mimosa.

Warum ein VPN ein kompromittiertes Gerät nicht schützen kann

VPNs sind nützliche Werkzeuge, aber sie haben eine bestimmte Aufgabe: Sie verschlüsseln den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbergen Ihre IP-Adresse vor den Websites, die Sie besuchen. Sie setzen voraus, dass das Gerät selbst vertrauenswürdig ist.

Wenn Malware bereits mit tiefgehendem Zugriff auf dem Telefon läuft, sitzt sie auf der Geräteseite dieses verschlüsselten Tunnels. Sie kann außerhalb des VPN-Schutzes operieren oder sogar ihren eigenen Datenverkehr auf Wegen leiten, die der Nutzer nie sieht. Ein VPN entfernt keinen Code auf Firmware-Ebene und hindert ein infiziertes Gerät nicht daran, als Proxy-Knoten eingetragen zu werden.

Deshalb sind Geräteintegrität und Netzwerkprivatsphäre getrennte Probleme. Ein VPN kann reduzieren, was Ihr ISP oder ein öffentlicher Wi-Fi-Betreiber sieht. Es kann ein nicht vertrauenswürdiges Telefon nicht vertrauenswürdig machen. Für einen Blick darauf, wie gestohlene oder offengelegte Daten eine andere Art von Risiko erzeugen, lesen Sie unsere Berichterstattung über die SBI-Datenpanne und KYC-Leak-Behauptungen, bei der das Problem bei einem Datenhalter und nicht beim Gerät des Nutzers lag.

Wie man günstige Telefone prüft und versteckte Proxy-Aktivität erkennt

Sie müssen erschwingliche Telefone nicht ganz vermeiden, aber ein paar Gewohnheiten senken Ihr Risiko.

Vor dem Kauf:

  • Kaufen Sie bei etablierten Händlern und Anbietern, die ihre Firmware und Update-Richtlinie dokumentieren können.
  • Seien Sie vorsichtig bei Preisen, die zu niedrig erscheinen, um sinnvoll zu sein, oder bei Verkäufern ohne klaren Support-Kanal.
  • Prüfen Sie, ob das Telefon für die Ausführung von Googles Diensten zertifiziert ist und regelmäßige Sicherheitspatches erhält.

Nach dem Kauf:

  • Überprüfen Sie die App-Liste, einschließlich der System-Apps, auf alles, was Sie nicht erkennen. Beachten Sie, dass sich einige schädliche Komponenten unter generischen Namen verbergen.
  • Sehen Sie sich die Datennutzung pro App in den Einstellungen an. Starke Hintergrundnutzung durch eine unbekannte App ist ein Warnsignal.
  • Achten Sie auf ungeklärten Akkuverbrauch, Wärme im Leerlauf oder einen Datentarif, der früh aufgebraucht ist.
  • Vermeiden Sie die Installation inoffizieller oder Drittanbieter-Firmware aus nicht verifizierten Quellen.

Was das für Sie bedeutet

Wenn Sie ein preiswertes Android-Telefon besitzen, ist Midnight Mimosa eine Erinnerung, das Gerät selbst zu prüfen und nicht nur die Apps, die Sie installieren. Das Risiko beschränkt sich nicht auf Ihre eigenen Daten: Ihre Verbindung könnte genutzt werden, um den Datenverkehr anderer zu transportieren und Betrug zu begehen. Da ein VPN ein kompromittiertes Telefon nicht reparieren kann, behandeln Sie es als eine Schutzschicht und nicht als Heilmittel.

Wenn Sie Anzeichen versteckter Aktivität finden, verwenden Sie das Telefon nicht mehr für sensible Aufgaben wie Banking, ändern Sie wichtige Passwörter von einem anderen vertrauenswürdigen Gerät aus und kontaktieren Sie den Hersteller oder Verkäufer. Der Austausch des Telefons gegen eines von einem Anbieter, der verifizierte Firmware bereitstellt, könnte die einzige zuverlässige Lösung sein.

Die wichtigsten Erkenntnisse

  • Prüfen Sie Ihr aktuelles Telefon diese Woche: Kontrollieren Sie Datennutzung, installierte und System-Apps sowie jede inoffizielle Firmware.
  • Kaufen Sie bei Anbietern mit verifizierter Firmware und klarer Richtlinie für Sicherheitsupdates.
  • Verlassen Sie sich nicht auf ein VPN, um ein Gerät zu schützen, das möglicherweise bereits infiziert ist.
  • Verwenden Sie ein vertrauenswürdiges zweites Gerät, um Passwörter zu ändern, wenn Sie eine Kompromittierung vermuten.

Vorinstallierte Android-Malware, die ein Proxy-Botnetz aufbaut, ist ein Lieferkettenproblem, und die beste Verteidigung beginnt beim Kauf. Für mehr zum Schutz Ihrer Geräte und zum Verständnis dessen, was ein VPN kann und nicht kann, durchsuchen Sie die VPN- und Gerätesicherheitsratgeber auf vpn.social.