Румынская компания Bitdefender обнаружила вредоносное ПО в прошивках китайских Android‑смартфонов на платформе MediaTek. Оно демонстрирует рекламу, накручивает клики и перенаправляет посещаемость.

Вредоносное ПО, которое получило название Midnight Mimosa, предустановлено в бюджетных моделях смартфонов, таких как Doogee S200 X и Cubot KINGKONG X, а также в поддельных Samsung Galaxy и iPhone. Заражённые устройства найдены свыше в 150 странах, больше всего в Мексике, Франции, Италии, США, Германии, Бразилии и Испании.

Вредоносные компоненты маскируются под системные приложения (com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot) и подписаны сертификатом платформы. Главная цель таких приложений — рекламное мошенничество. Они используют настоящий рекламный SDK и загружают реальные объявления, но не показывают их пользователю. Вместо этого приложения открывают невидимые окна поверх других программ, а рекламные сети засчитывают такие показы как настоящие. Некоторые приложения равным образом автоматически нажимают на объявления, увеличивая число кликов.

По данным исследователей, Midnight Mimosa перед установкой дополнительных вредоносных модулей временно отключает Google Play для обхода Google Play Protect. Кроме того, в Midnight Mimosa нашли TCP‑прокси, позволяющий направлять веб посещаемость через заражённые смартфоны. Злоумышленники могут использовать интернет‑соединения жертв для своих операций или продавать доступ к таким устройствам в качестве прокси другим злоумышленникам.

По данным Bitdefender, часть заражённых прошивок подписана сертификатами китайской Shenzhen Zediel, которая выпускает умную технику и бытовую электронику. В компании отмечают, что это не доказывает причастность Shenzhen Zediel к созданию или распространению вредоносного ПО. По мнению исследователей, его мог добавить производитель устройства, разработчик прошивки, логистический партнёр или другой посредник.