Mitternachtsmimosa genannt Von den Cybersicherheitsforschern von Bitdefender zielt eine Malware-Kampagne auf Android-Smartphones der Einstiegsklasse ab, die häufig mit MediaTek-Plattformen ausgestattet sind.

Die Schadsoftware wird direkt in die Firmware integriert des Geräts, wodurch es vom ersten Einschalten an aktiv ist und nicht mit herkömmlichen Mitteln deinstalliert werden kann. Frankreich gehört zu den am stärksten von dieser Bedrohung betroffenen Ländern.

Welche Risiken birgt diese Schadsoftware?

Versteckt unter generischen Namen wie com.android.system.litedie Malware verfügt über Systemrechte. Dies ermöglicht das unbeaufsichtigte Installieren und Entfernen von Apps, das Erteilen von Berechtigungen und das Laden beliebigen Codes, der aus der Ferne bereitgestellt wird.

Das Hauptziel besteht darin, Einnahmen für die Kampagnenbetreiber zu generieren. Dazu werden gefälschte Anwendungen (Wetter, Dateimanager usw.) installiert, die Werbung in unsichtbaren Fenstern anzeigen und Klicks simulieren, eine Werbebetrugstechnik sehr lukrativ.

Die Malware kann infizierte Geräte auch in private Proxy-Relay-Knoten verwandeln und sie in große Botnetze integrieren. Um einer Entdeckung zu entgehen, deaktiviert es kurz vor der Installation seiner Payloads vorübergehend den Google Play Store, um die Sicherheitsscans von Play Protect zu umgehen.

Wie groß ist diese Kampagne?

Eine Untersuchung von Bitdefender ergab, dass von der Kampagne Tausende Geräte betroffen waren einzigartige Entdeckungen in mehr als 150 Ländern über einen Zeitraum von zwei Jahren, wobei Mexiko, Frankreich und Italien die Entdeckungen anführten.

Bei den betroffenen Geräten handelt es sich überwiegend um Billigmodelle, Fälschungen großer Marken, aber auch um Modelle legitimer Marken wie Doogee und Cubot. Benutzer in Foren haben verdächtiges Verhalten auf diesen Geräten gemeldet, wobei Apps nach dem Löschen auf mysteriöse Weise neu installiert wurden.

Der Ursprung der Infektion deutet natürlich auf eine Kompromittierung der Lieferkette hinobwohl der genaue Täter nicht identifiziert werden konnte. Es wurden Signaturzertifikate gefunden, die mit dem chinesischen Hersteller Shenzhen Zediel in Verbindung stehen. Bitdefender sagt jedoch, es sei unklar, ob der Besitzer des Zertifikats beteiligt sei oder sich der Malware-Bereitstellung bewusst sei.

Eine bösartige Kampagne, die über die Firmware hinausgeht

Die Forscher identifizierten außerdem 13 Apps im Google Play Store, die zwar nicht über dieselben erhöhten Berechtigungen verfügten, aber mit derselben Befehls- und Kontrollinfrastruktur wie Midnight Mimosa kommunizierten und denselben Werbebetrugscode enthielten. Die Reinigung ist erledigt.

In einem Blogbeitrag geht Bitdefender detailliert auf Midnight Mimosa ein und veröffentlicht Indikatoren für eine Kompromittierung.