Кампанія під назвою Midnight Mimosa привертає увагу до проблеми, яку легко пропустити під час купівлі бюджетного смартфона: телефон може надійти вже скомпрометованим. Згідно зі звітом від GBHackers, Midnight Mimosa — це масштабна кампанія Android-зловмисного програмного забезпечення, яка перетворює недорогі смартфони на двигуни рекламного шахрайства. Цей випадок є яскравим прикладом того, як передвстановлене Android-зловмисне ПЗ може створити проксі-ботнет із пристроїв звичайних людей без їхнього відома.

Публічне резюме коротке, тому цей допис обмежується тим, що було повідомлено, і пояснює загальні механізми в загальних рисах. Там, де деталі кампанії не підтверджені, ми це зазначаємо.

Як Midnight Mimosa захоплює дешеві Android-телефони

Ключовий момент у звіті полягає в тому, що кампанія націлена на недорогі смартфони та використовує їх для рекламного шахрайства. Запропонований кут для цієї історії, а також те, як зазвичай працює цей клас загроз, полягає в тому, що шкідливий код присутній на пристрої ще до того, як власник його ввімкне. Це відрізняється від звичайної поради уникати сумнівних застосунків, адже покупець не зробив нічого поганого.

Передвстановлене зловмисне ПЗ зазвичай ефективне для атакуючих з кількох причин:

  • Його можна вбудувати в прошивку або системні застосунки, тому воно може пережити скидання до заводських налаштувань.
  • Воно не потребує схвалення користувачем завантаження чи натискання на погане посилання.
  • Воно працює тихо у фоновому режимі, тому може не бути жодних очевидних ознак проблеми.

У резюме джерела не деталізується, які бренди, моделі чи етапи ланцюга постачання задіяні, тому ми не можемо сказати, які телефони уражені. Читачам слід ставитися з обережністю до будь-яких тверджень про конкретні моделі, доки дослідники їх не опублікують.

Як мережі резидентних проксі перетворюють ваше з'єднання на вихідний вузол для когось іншого

Проксі-ботнет працює шляхом здачі в оренду інфікованих пристроїв як точок ретрансляції. Замість того, щоб запит робив власний сервер атакуючого, трафік маршрутизується через телефон і виходить через домашнє або мобільне з'єднання власника. Для вебсайту на іншому кінці запит виглядає так, ніби він надходить від звичайної людини у звичайного інтернет-провайдера.

Це цінно для рекламного шахрайства. Фальшиві покази реклами та кліки набагато важче відфільтрувати, коли вони нібито походять із багатьох реальних резидентних і мобільних адрес. Телефон стає мимовільним працівником у цій схемі.

Для власника наслідки можуть включати:

  • Непояснене використання даних, оскільки трафік незнайомців споживає ваш тариф або пропускну здатність.
  • Ризик для репутації, оскільки активність, що виходить з вашої IP-адреси, можуть приписати вам, наприклад, позначення або блокування сервісами.
  • Повільніша робота та швидше розряджання батареї, оскільки пристрій виконує роботу, про яку ви не просили.
  • Потенційна вразливість, оскільки пристрій, який виконує прихований код із системними привілеями, може робити більше, ніж ту одну роботу, про яку було повідомлено.

Останній пункт є загальним ризиком, а не підтвердженим висновком щодо Midnight Mimosa.

Чому VPN не може захистити скомпрометований пристрій

VPN — корисні інструменти, але вони мають конкретне завдання: шифрувати трафік між вашим пристроєм і VPN-сервером та приховувати вашу IP-адресу від сайтів, які ви відвідуєте. Вони припускають, що сам пристрій є надійним.

Якщо зловмисне ПЗ уже працює з глибоким доступом на телефоні, воно знаходиться на боці пристрою цього зашифрованого тунелю. Воно може діяти поза захистом VPN або навіть маршрутизувати власний трафік у спосіб, якого користувач ніколи не бачить. VPN не видаляє код рівня прошивки і не заважає інфікованому пристрою бути залученим як проксі-вузол.

Ось чому цілісність пристрою та мережева приватність — це окремі проблеми. VPN може зменшити те, що бачить ваш інтернет-провайдер або оператор публічного Wi-Fi. Він не може зробити ненадійний телефон надійним. Щоб дізнатися, як викрадені або розкриті дані створюють інший тип ризику, дивіться наш матеріал про твердження щодо витоку KYC у результаті злому даних SBI, де проблема полягала в утримувачі даних, а не в пристрої користувача.

Як перевіряти бюджетні телефони та виявляти приховану проксі-активність

Вам не обов'язково повністю уникати доступних телефонів, але кілька звичок знижують ваш ризик.

Перед покупкою:

  • Купуйте у перевірених роздрібних продавців і постачальників, які можуть документально підтвердити свою політику щодо прошивки та оновлень.
  • Остерігайтеся цін, які здаються занадто низькими, щоб бути обґрунтованими, або продавців без чіткого каналу підтримки.
  • Перевірте, чи сертифікований телефон для роботи з сервісами Google і чи отримує він регулярні оновлення безпеки.

Після покупки:

  • Перегляньте список застосунків, включно із системними, на наявність чогось, чого ви не впізнаєте. Зверніть увагу, що деякі шкідливі компоненти ховаються під загальними назвами.
  • Перегляньте використання даних за застосунками в налаштуваннях. Інтенсивне фонове використання незнайомим застосунком є тривожною ознакою.
  • Стежте за непоясненим розряджанням батареї, нагріванням у стані спокою або тарифом, який закінчується раніше.
  • Уникайте встановлення неофіційних або сторонніх прошивок із неперевірених джерел.

Що це означає для вас

Якщо ви володієте недорогим Android-телефоном, Midnight Mimosa — це нагадування перевірити сам пристрій, а не лише застосунки, які ви встановлюєте. Ризик не обмежується вашими власними даними: ваше з'єднання може використовуватися для передачі трафіку інших людей і для вчинення шахрайства. Оскільки VPN не може виправити скомпрометований телефон, ставтеся до нього як до одного шару захисту, а не як до ліків.

Якщо ви виявите ознаки прихованої активності, припиніть використовувати телефон для чутливих завдань, як-от банківські операції, змініть важливі паролі з іншого надійного пристрою та зв'яжіться з виробником або продавцем. Заміна телефону на пристрій від постачальника, який надає перевірену прошивку, може бути єдиним надійним рішенням.

Ключові висновки

  • Перевірте свій поточний телефон цього тижня: перегляньте використання даних, встановлені та системні застосунки, а також будь-яку неофіційну прошивку.
  • Купуйте у постачальників із перевіреною прошивкою та чіткою політикою оновлень безпеки.
  • Не покладайтеся на VPN для захисту пристрою, який може вже бути інфікованим.
  • Використовуйте надійний другий пристрій для зміни паролів, якщо підозрюєте компрометацію.

Передвстановлене Android-зловмисне ПЗ, яке створює проксі-ботнет, є проблемою ланцюга постачання, і найкращий захист починається з покупки. Щоб дізнатися більше про захист ваших пристроїв і розуміння того, що VPN може і не може робити, перегляньте посібники з VPN і безпеки пристроїв на vpn.social.