کمپین بدافزاری جدیدی به نام Midnight Mimosa شناسایی شده است که با جاسازی در فریم‌ور (Firmware) گوشی‌های هوشمند اندرویدی، از دستگاه‌های آلوده برای کلاهبرداری تبلیغاتی (Ad Fraud) و ارائه خدمات پروکسی مسکونی (Residential Proxy) جهت درآمدزایی استفاده می‌کند.
زنجیره تأمین و نحوه سرایت
برخلاف اکثر بدافزارها که نیاز به دانلود یک فایل مخرب توسط کاربر دارند، Midnight Mimosa پیش از رسیدن دستگاه به دست مالک نهایی، در فریم‌ور آن قرار گرفته است. این عملیات در طول دو سال گذشته هزاران دستگاه را در بیش از ۱۵۰ کشور جهان تحت تأثیر قرار داده است؛ به‌ویژه گوشی‌های ارزان‌قیمتی که از پلتفرم‌های MediaTek استفاده می‌کنند.
اجزای سیستمی این بدافزار با دسترسی‌های بالا (Privileged)، قادرند به‌صورت مخفیانه برنامه‌هایی را نصب یا حذف کرده، مجوزهای مورد نیاز را صادر کنند و کدهای اجرایی را از سرورهای کنترل دریافت نمایند.
تحلیل فنی و مکانیزم‌های پنهان‌سازی
این بدافزار از نام‌هایی مانند com.android.sys.prot و com.android.sys.bcprot استفاده می‌کند تا خود را به عنوان اجزای قانونی اندروید معرفی کند. یک کتابخانه Native به نام libeasy.so وظیفه رمزگشایی چارچوب اصلی را بر عهده دارد که پیکربندی‌های مورد نیاز را از زیرساخت‌هایی که در ظاهر سرویس‌های هواشناسی هستند، دریافت می‌کند.
برای پیچیده‌تر کردن تحلیل‌های استاتیک (Static Inspection)، فایل‌های دانلود شده از پسوندهای گمراه‌کننده استفاده می‌کنند؛ برای مثال، اجزای JAR با پسوند .o و پی‌لودهای (Payload) APK با پسوند .png ارسال می‌شوند.
تکنیک‌های دور زدن و درآمدزایی
- دور زدن گوگل پلی: این بدافزار پیش از نصب برخی پی‌لودها، به‌طور موقت بسته
com.android.vending(Google Play Store) را غیرفعال می‌کند تا از بررسی‌های Play Protect بگریزد. - کلاهبرداری تبلیغاتی: بدافزار برنامه‌هایی را در قالب ابزارهای کاربردی (مانند مدیریت فایل یا یادداشت) نصب کرده و در پس‌زمینه، تبلیغات را بدون تعامل کاربر بارگذاری می‌کند تا بازدیدهای جعلی (Impressions) ایجاد کند.
- شبکه پروکسی: یکی از پی‌لودها (
com.mobile.applock.en) دستگاه را به یک TCP Proxy تبدیل می‌کند که ترافیک را از طریق پورت ۶۰۰۰ رله کرده و اتصال قربانی را به بخشی از یک زیرساخت پروکسی مسکونی تبدیل می‌نماید.
پایداری و روش‌های مقابله
به دلیل اینکه جزء اصلی این بدافزار در پارتیشن سیستم (System Partition) قرار دارد، حذف آن از طریق روش‌های معمول Uninstall امکان‌پذیر نیست. برای پاکسازی کامل، نیاز به بازنویسی فریم‌ور توسط سازنده یا استفاده از ابزارهای تخصصی Cleanup است.
کارشناسان توصیه می‌کنند مدیران SOC و تیم‌های امنیتی به‌جای اتکا به لیست‌های سیاه (Blocklists) نام بسته‌ها، بر پایش رفتاری (Behavioral Monitoring) و اعتبارسنجی منشأ فریم‌ور دستگاه‌های سازمانی تمرکز کنند.
