ARTICLE · 1163713
Android固件恶意软件利用广告欺诈与代理僵尸网络牟利
Android固件恶意软件利用广告欺诈与代理僵尸网络牟利“午夜含羞草（Midnight Mimosa）”是一套嵌入固件的安卓恶意软件攻击活动。该恶意程序通过广告欺诈与住宅代理服务，让被入侵的智能手机为攻击者创造收益。 该威胁于10月8日对外披露。在大约两年时间里，此次攻击波及150多个国家的数千台设备，受害设备大多是联发科平台的廉价手机。 不同于需要用户下载恶意程序才会中招的恶意软件，午夜含羞草在设备到达用户手中之前就已经植入设备内部。 它拥有系统高权限组件，可以静默安装、卸载应用，申请各类权限，还能获取可执行代码。 目前尚不清楚该恶意软件是如何进入硬件供应链；现有研究结果并不证实是联发科引入了这一感染。 该恶意程序相关包名有： com.android.sys.prot 、 com.android.sys.gmsprot 、 com.android.sys.bcprot 。 这些包名模仿合法安卓系统组件，但研究人员提醒：应当以恶意行为特征作为判断依据，不能仅凭某个软件包名称就直接判定威胁。 原生库文件 libeasy.so 会解密一套隐藏框架，该框架会从伪装成天气服务的恶意服务器获取远程配置。配套插件实现静默安装与广告相关功能。 下载的文件使用具有迷惑性的后缀：例如将JAR程序后缀改为 .o ，APK恶意载荷伪装成 .png 图片，这增大了对原始样本静态分析排查的难度。 该恶意软件会反复操控无障碍权限、通知访问权限、短信权限。研究人员并未观测到它滥用通知与短信，因此这些能力属于潜在风险，并非已经确认的监控行为。 在安装部分恶意载荷前，它会临时停用谷歌应用商店程序包 com.android.vending ，以此规避谷歌Play保护机制的检测。 Android固件恶意软件详情 比特梵德至少发现了32个被投放到设备中的伪装应用。它们伪装成天气工具、应用锁、记事本、文件管理器等常用工具软件。 这些外壳程序会调用正规广告服务商展示真实广告，同时在用户看不见的隐藏窗口产生广告曝光量，用户完全没有实际交互。 受感染设备分布最多的国家为墨西哥、法国、意大利，其次是美国、德国、巴西、西班牙。 额外组件还会生成模拟点击，将这些隐蔽操作转化为攻击者的收入。 广告插件可以在手机点亮屏幕、或是收到攻击者远程指令时触发各类恶意弹窗行为；同时设置安全窗口标识，让这些恶意界面无法被截图、录屏捕捉到。 它设置了时间限制和每日点击上限，让自动化的恶意行为尽量不引起怀疑；同时通过多个被植入的应用分散执行广告作弊活动。 还有独立恶意载荷 com.mobile.applock.en ，这是一个TCP代理程序，没有广告，也没有用户界面。 它通过6000端口建立连接，根据远程指令转发网络流量，把受害者手机变成住宅代理节点。研究人员指出该程序可被用于构建僵尸网络、发起DDoS攻击，但尚未发现实际DDoS攻击事件证据。 另有13款谷歌应用商店内的应用会和该攻击的恶意服务器通信，并且包含同款广告欺诈代码。 和固件内置植入不同，这些商店应用没有系统级高权限，但本身具备正常可用功能。 这说明攻击者同时使用两种手段：一方面在固件预装恶意程序，另一方面也利用应用商店分发普通恶意App，并非单纯依靠被篡改固件这一条渠道。 部分受害固件携带深圳泽迪尔（Shenzhen Zediel）相关证书。但仅凭证书不能断定就是该厂商编写、知情或者主动分发恶意软件。 恶意活动使用的基础设施，也和过往报告的 Android.Joker、Android.Phantom 以及点击欺诈恶意活动存在关联；但这种历史上的基础设施重叠，不等于确定攻击归属到某个已知威胁组织。 由于恶意持久化组件存放在系统分区，普通卸载手段无法清除。 想要彻底修复，需要刷入干净可信固件，或者设备厂商介入处理。针对这类受感染设备，安全防护应当重点依靠行为监控、校验固件来源可信度，而不是仅仅依靠拉黑软件包名清单。