تحقیقات اخیر متخصصان امنیت سایبری نشان می‌دهد بسیاری از گوشی‌های ارزان‌قیمت اندرویدی که از بازارهای آنلاین خریداری می‌شوند، پیش از رسیدن به دست کاربر به بدافزار آلوده شده‌اند. این کمپین که Midnight Mimosa نامگذاری شده است، دستگاه‌های اقتصادی مختلفی را که بر پایه پلتفرم‌های MediaTek ساخته شده‌اند، هدف قرار داده است.
نفوذ در سطح Firmware و دسترسی‌های سیستمی
این بدافزار در سطح Firmware دستگاه قرار دارد و پیش از اولین روشن شدن گوشی توسط کاربر، روی سیستم فعال است. به دلیل قرارگیری در پارتیشن سیستم، این بدافزار توسط کاربر قابل حذف (Uninstall) نیست. عامل تهدید (Threat Actor) با بهره‌گیری از امتیازات سطح سیستم (System-level privileges)، قادر است به صورت مخفیانه اپلیکیشن‌ها را نصب یا حذف کرده، مجوزهای دسترسی را تغییر دهد و کدهای دلخواه را از راه دور بارگذاری کند.
مدل‌های هدف و زنجیره تأمین
این حملات در بیش از ۱۵۰ کشور شناسایی شده و طیف گسترده‌ای از دستگاه‌ها را شامل می‌شود. بخش زیادی از مدل‌های آلوده، گوشی‌های تقلبی هستند که از نام برندهای مطرح استفاده می‌کنند (مانند مدل‌های جعلی S25 Ultra یا Note 18 Ultra). همچنین برندهای اقتصادی مانند Doogee و Cubot در لیست دستگاه‌های آسیب‌دیده مشاهده شده‌اند.
هنوز دقیقاً مشخص نیست که بدافزار در کدام مرحله از Supply Chain (زنجیره تأمین) وارد دستگاه شده است؛ این نفوذ می‌تواند توسط تولیدکنندگان تجهیزات اصلی (ODM)، یکپارچه‌سازان فریم‌ور یا حتی شرکای لجستیکی صورت گرفته باشد.
تحلیل فنی و مکانیسم عملکرد
هسته اصلی این بدافزار تحت نام com.android.system.lite فعالیت می‌کند که به عنوان یک «تسهیل‌گر» (Enabler) عمل کرده و کدهای تکمیلی را از سرور فرماندهی و کنترل (C2) دریافت می‌کند. برخی از ویژگی‌های فنی این بدافزار عبارتند از:
- سرقت اطلاعات: ارسال IMEI، شناسه اندروید (Android ID)، آدرس MAC و منطقه زمانی دستگاه به سرور C2.
- دسترسی‌های خطرناک: درخواست دسترسی به Accessibility (دسترسی‌پذیری)، Notification Access (دسترسی به اعلان‌ها) و SMS برای خواندن پیام‌ها و کدهای یک‌بار مصرف.
- تولید درآمد: تبدیل دستگاه‌ها به گره‌های پروکسی مسکونی (Residential Proxy) و استفاده از آن‌ها در Botnetهای گسترده برای حملات DDoS و کلاهبرداری‌های کلیک (Click Fraud).
- تکنیک‌های پنهان‌سازی: استفاده از Obfuscation شدید در کتابخانه‌های Native و بهره‌گیری از Flagهای امنیتی برای جلوگیری از ثبت اسکرین‌شات یا فیلم‌برداری از تبلیغات مزاحم.
دور زدن مکانیزم‌های امنیتی
این بدافزار برای جلوگیری از شناسایی، در لحظه نصب اپلیکیشن‌های مخرب، به طور موقت Google Play Store و سیستم اسکنر Play Protect را غیرفعال می‌کند و پس از اتمام عملیات، آن‌ها را مجدداً فعال می‌سازد تا کاربر متوجه تغییری نشود.
راهکارهای مقابله
به دلیل استقرار بدافزار در پارتیشن سیستمی، روش‌های معمول حذف اپلیکیشن‌ها کاربردی نیست. تنها راه پاکسازی، بازنویسی کامل Firmware یا غیرفعال کردن مؤلفه مخرب از طریق ADB (Android Debug Bridge) است که برای کاربران عادی دشوار و غیرعملی است. در نهایت، مسئولیت رفع این مشکل بر عهده تولیدکنندگان و بازارهایی است که این سخت‌افزارها را توزیع می‌کنند.
