En kampanje kalt Midnight Mimosa retter oppmerksomheten mot et problem som er lett å overse når man kjøper en rimelig telefon: telefonen kan allerede være kompromittert når den ankommer. Ifølge rapporten fra GBHackers er Midnight Mimosa en utbredt Android-malwarekampanje som gjør rimelige smarttelefoner om til motorer for annonsesvindel. Saken er et tydelig eksempel på hvordan forhåndsinstallert Android-malware kan bygge et proxy-botnett av vanlige folks enheter uten deres viten.

Det offentlige sammendraget er kort, så dette innlegget holder seg til det som er rapportert og forklarer den bredere mekanikken i generelle termer. Der detaljer om kampanjen ikke er bekreftet, sier vi det.

Hvordan Midnight Mimosa kaprer billige Android-telefoner

Hovedpoenget i rapporteringen er at kampanjen retter seg mot rimelige smarttelefoner og bruker dem til annonsesvindel. Den foreslåtte vinkelen for denne saken, og måten denne typen trussel vanligvis fungerer på, er at den ondsinnede koden er til stede på enheten før eieren i det hele tatt slår den på. Det er annerledes enn det vanlige rådet om å unngå tvilsomme apper, fordi kjøperen ikke gjorde noe galt.

Forhåndsinstallert malware har en tendens til å være effektivt for angripere av noen få grunner:

  • Det kan være innebygd i fastvaren eller apper på systemnivå, slik at det kan overleve en fabrikktilbakestilling.
  • Det trenger ikke at brukeren godkjenner en nedlasting eller trykker på en dårlig lenke.
  • Det kjører stille i bakgrunnen, slik at det kanskje ikke er noe åpenbart tegn på problemer.

Kildesammendraget beskriver ikke hvilke merker, modeller eller trinn i forsyningskjeden som er involvert, så vi kan ikke si hvilke telefoner som er berørt. Lesere bør behandle påstander om spesifikke modeller med forsiktighet til forskere publiserer dem.

Hvordan residential proxy-nettverk gjør tilkoblingen din til noen andres utgangsnode

Et proxy-botnett fungerer ved å leie ut infiserte enheter som relépunkter. I stedet for at angriperens egen server sender en forespørsel, rutes trafikken gjennom telefonen og ut over eierens hjemme- eller mobiltilkobling. For nettstedet i den andre enden ser forespørselen ut til å komme fra en vanlig person hos en vanlig internettleverandør.

Det er verdifullt for annonsesvindel. Falske annonsevisninger og klikk er mye vanskeligere å filtrere når de ser ut til å komme fra mange ekte residential- og mobiladresser. Telefonen blir en uvitende arbeider i opplegget.

For eieren kan konsekvensene omfatte:

  • Uforklarlig databruk, fordi fremmedes trafikk bruker opp planen eller båndbredden din.
  • Omdømmrisiko, siden aktivitet som forlater IP-adressen din kan bli tilskrevet deg, for eksempel ved å bli flagget eller blokkert av tjenester.
  • Tregere ytelse og raskere batteritømming, ettersom enheten utfører arbeid du aldri ba om.
  • Potensiell eksponering, fordi en enhet som kjører skjult kode med systemprivilegier kan gjøre mer enn den ene jobben den ble rapportert for.

Det siste punktet er en generell risiko, ikke et bekreftet funn om Midnight Mimosa.

Hvorfor en VPN ikke kan beskytte en kompromittert enhet

VPN-er er nyttige verktøy, men de har en spesifikk jobb: de krypterer trafikk mellom enheten din og VPN-serveren, og de skjuler IP-adressen din fra nettstedene du besøker. De forutsetter at enheten selv er pålitelig.

Hvis malware allerede kjører med dyp tilgang på telefonen, sitter det på enhetssiden av den krypterte tunnelen. Det kan operere utenfor VPN-ens beskyttelse, eller til og med rute sin egen trafikk på måter brukeren aldri ser. En VPN fjerner ikke kode på fastvarenivå, og den stopper ikke en infisert enhet fra å bli registrert som en proxy-node.

Dette er grunnen til at enhetsintegritet og nettverkspersonvern er separate problemer. En VPN kan redusere hva internettleverandøren din eller en operatør av offentlig Wi-Fi ser. Den kan ikke gjøre en upålitelig telefon pålitelig. For en titt på hvordan stjålne eller eksponerte data skaper en annen type risiko, se vår dekning av SBI data breach KYC leak claims, der problemet lå hos en datainnehaver snarere enn brukerens enhet.

Hvordan vurdere billige telefoner og oppdage skjult proxy-aktivitet

Du trenger ikke å unngå rimelige telefoner helt, men noen få vaner reduserer risikoen din.

Før du kjøper:

  • Kjøp fra etablerte forhandlere og leverandører som kan dokumentere fastvaren og oppdateringspolicyen sin.
  • Vær forsiktig med priser som virker for lave til å gi mening, eller med selgere uten en klar støttekanal.
  • Sjekk om telefonen er sertifisert for å kjøre Googles tjenester og mottar regelmessige sikkerhetsoppdateringer.

Etter at du har kjøpt:

  • Gå gjennom applisten, inkludert systemapper, for noe du ikke kjenner igjen. Merk at noen ondsinnede komponenter skjuler seg under generiske navn.
  • Se på databruk per app i innstillingene. Tung bakgrunnsbruk fra en ukjent app er et advarselstegn.
  • Vær oppmerksom på uforklarlig batteritømming, varme når enheten er inaktiv, eller en dataplan som tar slutt tidlig.
  • Unngå å installere uoffisiell eller tredjeparts fastvare fra ubekreftede kilder.

Hva dette betyr for deg

Hvis du eier en rimelig Android-telefon, er Midnight Mimosa en påminnelse om å sjekke enheten selv, ikke bare appene du installerer. Risikoen er ikke begrenset til dine egne data: tilkoblingen din kan bli brukt til å frakte andres trafikk og til å begå svindel. Siden en VPN ikke kan fikse en kompromittert telefon, bør du behandle den som ett lag med beskyttelse og ikke som en kur.

Hvis du finner tegn på skjult aktivitet, slutt å bruke telefonen til sensitive oppgaver som bank, bytt viktige passord fra en annen pålitelig enhet, og kontakt produsenten eller selgeren. Å erstatte telefonen med en fra en leverandør som tilbyr verifisert fastvare, kan være den eneste pålitelige løsningen.

Viktige punkter

  • Gå gjennom din nåværende telefon denne uken: sjekk databruk, installerte apper og systemapper, og eventuell uoffisiell fastvare.
  • Kjøp fra leverandører med verifisert fastvare og en tydelig policy for sikkerhetsoppdateringer.
  • Ikke stol på en VPN for å beskytte en enhet som allerede kan være infisert.
  • Bruk en pålitelig sekundærenhet til å bytte passord hvis du mistenker kompromittering.

Forhåndsinstallert Android-malware som bygger et proxy-botnett er et forsyningskjedeproblem, og det beste forsvaret starter ved kjøpet. For mer om å beskytte enhetene dine og forstå hva en VPN kan og ikke kan gjøre, utforsk VPN- og enhetssikkerhetsguidene på tvers av vpn.social.