Low-Cost Android Phones Ship With Preinstalled Malware That Turns Them Into Residential Proxies
The Hacker News · 13 oct, 08:00
Smartphones Android de bajo coste enviados con malware preinstalado en el firmware permite a atacantes instalar aplicaciones silenciosamente, perpetrar fraude publicitario y convertir dispositivos en proxies residenciales. El malware, rastreado por Bitdefender como Midnight Mimosa, afecta a plataformas MediaTek de múltiples marcas, con la mayoría de dispositivos infectados en México, seguido de Francia, Italia, España y otros países.
El malware preinstalado (com.android.system.lite) se ejecuta con privilegios a nivel de sistema, permitiendo instalar o desinstalar aplicaciones, otorgarse permisos adicionales a servicios de accesibilidad, notificaciones y SMS, y cargar código arbitrario desde servidores remotos. Los operadores descargan y ejecutan cargas útiles diseñadas para fraude publicitario e instalación silenciosa de aplicaciones asociadas que incorporan proxyware, fraude de clics y capacidades de ejecución de código.
Bitdefender descubrió 13 aplicaciones en Google Play que se comunican con los mismos servidores de control del malware, indicando que la campaña va más allá del firmware preinstalado. El malware desactiva Google Play Store antes de instalar aplicaciones maliciosas y luego lo reactiva, presumiblemente para evadir las protecciones de Play Protect. El malware ha sido detectado en dispositivos con firmware firmado por certificados atribuidos a Shenzhen Zediel Co., Ltd, una fabricante china de dispositivos Android, aunque es incierto si estuvo involucrada o consciente del despliegue. La naturaleza preinstalada sugiere compromiso de la cadena de suministro, con superposición de infraestructura con Android.Phantom, documentado por Doctor Web en juegos modificados para fraude de clics.
Puntos clave
- Malware preinstalado com.android.system.lite con privilegios de sistema en dispositivos MediaTek de múltiples marcas
- 13 aplicaciones en Google Play vinculadas a servidores de control del malware
- Mayoría de dispositivos infectados en México, Francia, Italia, España y EE.UU.
- Imposible desinstalar mediante métodos normales; requiere limpieza a nivel de firmware o desactivación vía ADB
Figuras de la fuente
