Bitdefender meldt dat Midnight Mimosa al vóór de eerste keer aanzetten in de firmware stond van sommige goedkope Android-toestellen met een MediaTek-platform. Een gewone app verwijderen haalt het persistente systeemonderdeel niet weg. Het beveiligingsbedrijf noemt opschoning van de firmware of uitschakeling via ADB als mogelijke routes, maar zegt dat die voor de meeste getroffen eigenaren niet realistisch zijn.
Hoe Midnight Mimosa op een telefoon terechtkwam
Firmware is de software die de basisfuncties van een toestel aanstuurt. Volgens Bitdefender was het schadelijke systeemonderdeel al vooraf in die firmware opgenomen, voordat de eigenaar het toestel voor het eerst aanzette. De bevinding betreft sommige goedkope Android-toestellen van meerdere merken met MediaTek-platforms. Ze geldt niet voor alle goedkope Android-telefoons.
Bitdefender zag de campagne gedurende ongeveer twee jaar op duizenden unieke apparaten in meer dan 150 landen. Dat zijn waarnemingen van apparaten waarop de campagne werd aangetroffen, geen maat voor het aandeel besmette telefoons in een land.
Wat het systeemonderdeel kan doen
Volgens Bitdefenders technische analyse kan het onderdeel stilletjes apps installeren en verwijderen, machtigingen verlenen en op afstand aangeleverde code laden. Het bedrijf rapporteert ook verborgen advertentie- en klikfraude en apparaten die als relais voor residentiële proxyverbindingen werden gebruikt. Zo’n relais kan internetverkeer via de verbinding van een gewoon huishouden doorsturen. De beschreven mogelijkheden betekenen niet dat elk getroffen toestel voor al deze activiteiten werd gebruikt.
Bitdefender meldt dat de malware de Google Play Store-app uitschakelde vlak voordat een schadelijke app werd geïnstalleerd, en die daarna weer inschakelde. Volgens de onderzoekers was dat waarschijnlijk bedoeld om detectie door Play Protect te ontwijken. De onderzoekers beschrijven daarnaast een wisselende familie van minstens 32 apps die zich voordeden als gewone apps.
Waarom een gewone app-verwijdering niet volstaat
Het persistente onderdeel staat volgens Bitdefender in de systeempartitie. Daardoor verwijdert het verwijderen van een losse app het niet. Het bedrijf noemt twee technische routes: de firmware opschonen of het onderdeel uitschakelen met ADB, de Android Debug Bridge. ADB is een hulpmiddel waarmee een computer opdrachten naar een Android-toestel kan sturen.
Bitdefender zegt dat geen van beide routes voor de meeste getroffen eigenaren realistisch is. Een fabrieksreset is geen oplossing die het bedrijf als betrouwbare verwijderingsmethode noemt.
Wie de malware in de firmware zette
Bitdefender kent het punt in de toeleveringsketen waar Midnight Mimosa in de firmware terechtkwam niet. Het bedrijf koppelt een certificaat dat is gebruikt om firmware op getroffen toestellen te ondertekenen aan de naam Shenzhen Zediel. Volgens Bitdefender bewijst dat niet dat Shenzhen Zediel de malware heeft toegevoegd, verspreid of daarvan wist.
