محققان امنیتی شرکت Bitdefender کمپینی را شناسایی کرده‌اند که تحت عنوان Midnight Mimosa نامگذاری شده است. این بدافزار به صورت پیش‌فرض روی تعدادی از گوشی‌های اندرویدی ارزان‌قیمت که از پلتفرم‌های MediaTek استفاده می‌کنند، نصب شده است و به مهاجمان اجازه می‌دهد بدون رضایت کاربر، اپلیکیشن‌هایی را نصب کرده، دسترسی‌های سیستمی را تغییر دهند و کدهای مخرب را اجرا کنند.
مکانیسم سرایت و پنهان‌سازی
این سرایت (Infection) در لایه‌ای پایین‌تر از لایه معمول نصب اپلیکیشن‌ها رخ می‌دهد. به گفته محققان، در لحظه روشن شدن گوشی، تمامی لایه‌های دفاعی کاربردستی (User-facing defenses) پیش از آن دور زده شده‌اند. این بدافزار خود را در بسته‌های سیستمی مانند com.android.system.lite و com.android.sys.prot مخفی می‌کند. از آنجایی که این بسته‌ها با امتیازات سیستمی اندروید (System Privileges) اجرا می‌شوند، کاربران عادی قادر به حذف آن‌ها نیستند.
تحلیل فنی و عملیات
یک کتابخانه Native به نام libeasy.so وظیفه رمزگشایی اجزای دیگر و برقراری ارتباط با دامنه api.weatherlive.world برای دانلود کدهای تکمیلی را بر عهده دارد. قابلیت‌های اصلی این بدافزار عبارتند از:
- کلاهبرداری تبلیغاتی (Ad Fraud): اجرای تبلیغات در پس‌زمینه و ایجاد کلیک‌ها و بازدیدهای جعلی بدون اطلاع کاربر.
- پروکسی‌ور (Proxyware): تبدیل اتصال اینترنت دستگاه به یک رله (Relay) برای ترافیک دیگران، به گونه‌ای که ترافیک مخرب از IP کاربر قربانی ارسال شود.
- دور زدن Google Play Protect: بدافزار برای نصب Payloadهای جدید، به طور موقت بسته
com.android.vending(گوگل پلی استور) را غیرفعال کرده و پس از اتمام عملیات، آن را بازیابی می‌کند تا از شناسایی توسط سیستم‌های امنیتی گوگل جلوگیری کند.
دامنه اثرگذاری و سخت‌افزارهای هدف
این بدافزار در هزاران دستگاه در بیش از ۱۵۰ کشور شناسایی شده است. سخت‌افزارهای آسیب‌دیده شامل گوشی‌های تقلبی (Counterfeit) با نام‌های جعلی مانند “S25 Ultra” و “i17 Pro Max” و همچنین مدل‌های اقتصادی برندهایی نظیر Doogee S200 X و Cubot KINGKONG X است. همچنین نسخه‌هایی از این کد کلاهبرداری تبلیغاتی در ۱۳ اپلیکیشن موجود در گوگل پلی نیز مشاهده شده که نشان می‌دهد عملیات تنها به فریم‌ورهای پیش‌نصب شده محدود نمی‌شود.
چالش‌های پاک‌سازی
یکی از خطرناک‌ترین جنبه‌های Midnight Mimosa این است که در سطح فریم‌ور (Firmware) سیستم قرار دارد. بنابراین، عملیات معمول Factory Reset یا حذف اپلیکیشن‌ها برای پاک‌سازی آن کافی نیست. برای رهایی از این تهدید، دستگاه‌های آسیب‌دیده نیازمند جایگزینی فریم‌ور توسط سازنده یا تعویض کامل سخت‌افزار هستند.
