یک بازار گسترده جهانی برای دستگاه‌های اندرویدی ارزان‌قیمت وجود دارد و عوامل تهدید (Threat Actors) با بهره‌برداری از این تقاضا، دستگاه‌هایی مبتنی بر پلتفرم‌های MediaTek را تولید کرده‌اند که بدافزار در فریم‌ور (Firmware) آن‌ها پیش‌نصب شده است.
به محض روشن شدن دستگاه توسط کاربر، این بدافزار به صورت نامرئی فعال شده و از طریق سرور فرمان و کنترل (C2)، تحت مدیریت مهاجم قرار می‌گیرد. این بدافزار به عنوان یک اپلیکیشن سیستمی در سطح فریم‌ور نصب شده است و از طریق روش‌های معمول حذف اپلیکیشن‌ها، قابل پاک‌سازی نیست.
قابلیت‌ها و دسترسی‌های سیستمی
این کمپین که Midnight Mimosa نامیده شده و توسط شرکت Bitdefender کشف شده است، پتانسیل تخریب گسترده‌ای دارد. این بدافزار با امتیازات سطح سیستم (System-level privileges) اجرا می‌شود که به آن اجازه می‌دهد به صورت مخفیانه اپلیکیشن‌ها را نصب یا حذف کرده، مجوزهای لازم را صادر کند و کدهای دلخواه ارسالی از راه دور را بارگذاری نماید. این سطح از دسترسی به اپراتورها اجازه می‌دهد تا هر دستگاه را مطابق نیاز خود تنظیم کرده و آن‌ها را به بخشی از بات‌نت‌های (Botnets) عظیم تبدیل کنند.
اهداف اقتصادی و عملیاتی
تمرکز اصلی Midnight Mimosa بر روی کلاهبرداری‌های تبلیغاتی (Ad Fraud)، کلیک‌های جعلی خودکار و تبدیل دستگاه‌ها به اجزای یک بات‌نت بزرگ است. این استراتژی به مهاجمان اجازه می‌دهد تا بدون جلب توجه، از طریق هزاران کلیک جعلی در بازه‌های زمانی مختلف، بازگشت سرمایه (ROI) قابل توجهی کسب کنند. همچنین، بات‌نت‌های ایجاد شده به عنوان کالایی ارزشمند به سایر عوامل تهدید اجاره داده می‌شوند.
گستره سرایت و توزیع
در دو سال گذشته، هزاران دستگاه آلوده در بیش از ۱۵۰ کشور شناسایی شده‌اند. اگرچه توزیع این بدافزار جهانی است، اما کشورهای مکزیک، فرانسه، ایتالیا، ایالات متحده، آلمان، برزیل و اسپانیا در صدر لیست هستند و مناطق اروپای غربی و آمریکا بیشترین میزان سرایت را داشته‌اند.
استفاده از گوگل پلی برای توزیع موازی
تحقیقات نشان می‌دهد که این کمپین تنها به فریم‌ور محدود نشده است. ۱۳ اپلیکیشن در گوگل پلی (Google Play) شناسایی شده‌اند که دارای گواهینامه‌های امضای متفاوت اما حاوی کدهای مشابه Midnight Mimosa هستند. اگرچه این اپلیکیشن‌ها دسترسی‌های سطح سیستمی فریم‌ور را ندارند، اما به عنوان یک کانال توزیع مکمل برای اکوسیستم مهاجمان عمل می‌کنند.
تکنیک‌های دور زدن امنیتی
چه بدافزار به صورت پیش‌فرض نصب شده باشد و چه از طریق گوگل پلی بارگذاری شود، این بدافزار برای جلوگیری از شناسایی توسط Play Protect، ابتدا گوگل پلی را غیرفعال کرده، سپس Payloadهای اضافی را نصب می‌کند و در نهایت مجدداً آن را فعال می‌سازد. این عمل باعث می‌شود اسکنرهای گوگل در لحظه نصب بدافزار، غیرفعال باشند.
در مجموع، Midnight Mimosa یک تهدید زنجیره تأمین (Supply-chain threat) است که در آن بدافزار پیش از فروش، در لایه‌های عمیق دستگاه ادغام شده و کنترل کامل دستگاه را از همان لحظه اول در اختیار مهاجم قرار می‌دهد.
