Bitdefender выявил вредоносное ПО в прошивках Android-смартфонов на чипах MediaTek

Специалисты компании Bitdefender выявили деятельность по интеграции вредоносного ПО в прошивки Android-смартфонов на платформах MediaTek, выпускаемых в Китае под разными брендами. Инцидент важен тем, что вредоносный код встраивается непосредственно в прошивку устройства, а не распространяется через приложения из магазинов или сторонние APK-файлы. Это существенно усложняет обнаружение и удаление угрозы обычными методами: пользователь может получить заражённое устройство уже «из коробки».

Подробности

По данным Bitdefender, вредоносная активность сосредоточена на трёх ключевых направлениях. Первое — подстановка рекламы и накрутка кликов на рекламные объявления, что приносит злоумышленникам доход за счёт рекламодателей и владельцев рекламных сетей. Второе — поддержание ботнета из заражённых устройств, формирующего распределённую сеть. Такая сеть может использоваться для организации DDoS-атак, а также для проксирования трафика, что позволяет злоумышленникам скрывать источник сетевой активности и обходить блокировки. Кампания затрагивает Android-смартфоны на платформах MediaTek, выпускаемые в Китае под разными брендами. Встраивание вредоносного кода на уровне прошивки означает, что угроза присутствует в системных компонентах устройства и может сохраняться даже после сброса к заводским настройкам. Конкретные версии прошивок, модели устройств, идентификаторы CVE и точный список затронутых брендов в сообщении не приводятся. Следует отметить, что речь идёт не об уязвимости в классическом понимании, которую можно закрыть обновлением, а о преднамеренной интеграции вредоносной функциональности в прошивку. Это переводит инцидент из категории технических дефектов в категорию угроз цепочки поставок, где компрометация происходит на этапе производства или сборки устройства.

Что делать

Владельцам смартфонов на чипах MediaTek, особенно приобретённых у китайских производителей, рекомендуется проявить повышенное внимание к поведению устройства. Признаками компрометации могут служить неожиданная реклама в системных приложениях, повышенный расход трафика и заряда батареи, а также подозрительная сетевая активность. В качестве мер предосторожности стоит устанавливать обновления прошивки только из официальных источников производителя, использовать мобильные решения для защиты от вредоносного ПО и внимательно относиться к выбору устройства и продавца. При обнаружении подозрительной активности следует рассмотреть возможность смены устройства, поскольку очистка прошивки от встроенного вредоносного кода силами пользователя, как правило, невозможна. Организациям, использующим такие устройства в корпоративной среде, целесообразно ограничить их подключение к внутренней инфраструктуре, применять сегментацию сети и контроль сетевого трафика, а также учитывать риск участия устройств в ботнете при построении модели угроз. Инцидент демонстрирует, что угрозы цепочки поставок на уровне прошивок представляют серьёзную проблему, требующую контроля не только на стороне пользователя, но и на этапе производства устройств. До появления дополнительных технических деталей пользователям остаётся полагаться на осторожность и проверенные источники закупки техники.

Источник: opennet