เตือนภัย Midnight Mimosa ฝังมัลแวร์ในมือถือ Android ราคาประหยัดบางรุ่น ถอนแอปตามปกติไม่ได้

Bitdefender พบมัลแวร์ Midnight Mimosa ฝังอยู่ในเฟิร์มแวร์ของสมาร์ตโฟน Android ราคาประหยัดบางรุ่น ทำให้ผู้โจมตีแอบติดตั้งแอป ปั่นโฆษณา และเปิดทางใช้เครื่องเป็นพร็อกซีได้ การตรวจสอบพบอุปกรณ์ได้รับผลกระทบหลายพันเครื่องในกว่า 150 ประเทศ ตลอดช่วงเวลาประมาณ 2 ปี

มัลแวร์มากับเฟิร์มแวร์และถอนออกยาก

มัลแวร์อยู่ในส่วนระบบตั้งแต่เครื่องส่งถึงผู้ซื้อ โดยพบในอุปกรณ์บางรุ่นที่ใช้ชิป MediaTek และปลอมชื่อแพ็กเกจให้ดูเหมือนบริการของ Android เช่น com.android.system.lite, com.android.sys.prot และ com.android.sys.gmsprot สิทธิ์ระดับระบบทำให้ติดตั้งหรือลบแอป อนุญาตสิทธิ์สำคัญ และรันโค้ดที่ดาวน์โหลดมาได้โดยไม่ต้องให้เจ้าของเครื่องกด

เครื่องที่ตรวจพบมีชื่อรุ่นเกี่ยวข้องกับ Doogee S200 X และ Cubot KINGKONG X รวมถึงมือถือที่เลียนแบบผลิตภัณฑ์ Samsung และ Apple ขณะนี้ยังไม่ทราบว่าใครแก้ไขเฟิร์มแวร์หรือเกิดขึ้นในขั้นตอนไหนของห่วงโซ่การผลิต มัลแวร์ระดับระบบนี้ไม่สามารถถอนออกผ่านเมนูลบแอปปกติของ Android ได้

แอบติดตั้งแอป ปั่นโฆษณา และเปิดทางให้พร็อกซี

จุดเริ่มต้นของการตรวจสอบคือแอป com.android.system.lite ที่ติดตั้งและลบแอปอื่นอย่างเงียบๆ ระบบนี้เชื่อมต่อเซิร์ฟเวอร์ควบคุมเพื่อดาวน์โหลดส่วนเสริม โดยนักวิจัยพบแอปประมาณ 32 รายการที่ปลอมเป็นเครื่องมือทั่วไป เช่น แอปอากาศ จัดการไฟล์ ล็อกแอป อ่านข้อความจากภาพ และตัดต่อเสียง

• ปั่นยอดแสดงผลและคลิกโฆษณาผ่านหน้าต่างที่ผู้ใช้มองไม่เห็น
• ปิด Play Store ชั่วคราวก่อนติดตั้งแอป แล้วเปิดกลับเพื่อลดโอกาสถูกตรวจพบ
• บางสายพันธุ์แก้ข้อมูลผู้ติดตั้งให้ดูเหมือนแอปมาจาก Google Play

อีกส่วนหนึ่งซ่อนระบบพร็อกซีไว้ในแอปล็อกแอป com.mobile.applock.en ซึ่งรับคำสั่งให้เชื่อมต่อปลายทางและส่งต่อทราฟฟิกผ่านอินเทอร์เน็ตของเครื่องที่ติดมัลแวร์ได้ ระบบควบคุมยังรับการลงทะเบียนอุปกรณ์ แต่เครื่องทดสอบของนักวิจัยไม่ได้รับปลายทางให้ส่งต่อ จึงยังไม่ยืนยันว่ามีการใช้พร็อกซีส่งทราฟฟิกจริงระหว่างการทดสอบ

พบแอปเกี่ยวข้องบน Google Play และการแก้ระดับเฟิร์มแวร์

นักวิจัยยังพบแอปบน Google Play อีก 13 รายการที่ใช้โค้ดปั่นโฆษณาแบบเดียวกันและติดต่อโครงสร้างพื้นฐานของ Midnight Mimosa แอปกลุ่มนี้ไม่มีสิทธิ์ระดับระบบสำหรับติดตั้งซอฟต์แวร์เพิ่มอย่างเงียบๆ แต่ยังแสดงโฆษณานอกหน้าจอแอปได้ รวมถึงช่วงที่ผู้ใช้ไม่ได้ใช้งานโทรศัพท์

ผู้ใช้ในฟอรัม XDA บางรายพบแอปน่าสงสัยกลับมาติดตั้งซ้ำหลังลบ และมีผู้ใช้ Doogee Fire 3 Max รายงานว่าปัญหาเกิดหลังอัปเดตเฟิร์มแวร์ ผู้ใช้บางรายได้รับอัปเดตที่แก้ปัญหาแล้ว ส่วนการกำจัดมัลแวร์ระดับระบบต้องจัดการที่เฟิร์มแวร์หรือปิดองค์ประกอบอันตรายผ่าน ADB ซึ่งซับซ้อนสำหรับผู้ใช้ทั่วไป

การตรวจสอบพบเฟิร์มแวร์ที่ลงนามด้วยใบรับรองเกี่ยวข้องกับ Shenzhen Zediel ด้วย แต่ความเชื่อมโยงของใบรับรองยังไม่ยืนยันว่าบริษัทมีส่วนร่วมในแคมเปญมัลแวร์ ผู้ผลิตยังไม่ได้อธิบายต่อสาธารณะว่าซอฟต์แวร์อันตรายเข้าไปอยู่ในเฟิร์มแวร์ได้อย่างไร

ZanZab ว่าไง?

กรณีนี้ทำให้เห็นว่าความปลอดภัยของมือถือเริ่มตั้งแต่ซอฟต์แวร์ที่มากับเครื่อง เมื่อมัลแวร์มีสิทธิ์ระดับระบบ เจ้าของเครื่องอาจลบแอปที่มองเห็นได้ แต่ต้นตอที่ติดตั้งแอปกลับมาอีกยังอยู่ การแก้ปัญหาจึงต้องไปถึงระดับเฟิร์มแวร์

สำหรับคนที่กำลังเลือกมือถือราคาประหยัด แนะนำให้เลือกซื้อจากแบรนด์และตัวแทนจำหน่ายที่เชื่อถือได้ และหลีกเลี่ยงการใช้สมาร์ตโฟนเลียนแบบ เพื่อการดูแลซอฟต์แวร์และความรับผิดชอบของผู้ผลิตเมื่อเกิดปัญหาเป็นส่วนหนึ่งของความคุ้มค่าที่ควรพิจารณาควบคู่กับสเปกด้วย

ที่มา: BleepingComputer

ติดตามข้อมูลข่าวสารน่าสนใจได้ทาง www.zanzab.com และช่องทางโซเชียล
Facebook , YouTube , Instagram และ Tiktok