Напад преку синџирот на снабдување вградува малициозен софтвер во Android уреди

Keenadu презема дополнителни малициозни модули што киднапираат пребарувања во прелистувач, извршуваат измами со реклами и други активности без знаење на корисникот.

Истражувачите открија нов малициозен софтвер вграден во фирмверот на Android уреди од повеќе производители, кој се вметнува во секоја апликација на заразените системи, овозможувајќи им на напаѓачите речиси неограничен далечински пристап.

Kaspersky го следи малициозниот софтвер под името „Keenadu“, откако го откри при истражување на закани на ниво на Android фирмвер, како што е тројанецот за далечински пристап Triada (RAT) кој краде податоци од банкарски и комуникациски апликации. Како и Triada, Kaspersky откри дека Keenadu доаѓа претходно инсталиран на Android уреди од повеќе — претежно помали — производители, кои компанијата ги известила за компромитацијата.

Закана на ниво на Firmware

„Keenadu беше интегриран во фирмверот на Android уреди како резултат на напад преку синџирот на снабдување“, соопшти безбедносната компанија. „Една фаза од синџирот на снабдување со фирмвер беше компромитирана, што доведе до вклучување на малициозна зависност во изворниот код.“ Овој заразен фајл го користи главниот Android процес „Zygote“ — како што беше случај и со Triada — што значи дека малициозниот софтвер автоматски се копира во секоја апликација што се извршува на компромитиран уред. „Производителите можеби не биле свесни дека нивните уреди биле заразени пред да стигнат на пазарот“, соопшти Kaspersky.

Според Kaspersky, заклучно со февруари, околу 13.000 Android уреди биле заразени со Keenadu. Најголем број погодени корисници има во Русија, потоа во Јапонија, Германија, Бразил и Холандија. Во некои случаи, корисниците добиле уреди со веќе претходно инсталиран малициозен софтвер, додека во други случаи компромитираниот софтвер бил испорачан преку вообичаени безжични (OTA) безбедносни ажурирања.

Она што го прави овој малициозен софтвер особено опасен е тоа што неговите автори можат да го дистрибуираат не само преку компромитиран фирмвер, туку и скриен во системски апликации, вклучувајќи сервиси за препознавање лице и launcher апликации, како и преку модифицирани верзии на популарни апликации во официјални продавници како Google Play и Xiaomi GetApps.

Keenadu функционира како повеќестепен „loader“ што презема дополнителни модули за киднапирање на пребарувања во прелистувач, извршување измами со реклами, додавање производи во кошнички за купување и извршување други активности без знаење на корисникот. Kaspersky откри еден модул што таргетира големи онлајн платформи како Amazon, Shein и Temu; друг што го следи секое пребарување внесено во Google Chrome; и трет што може да пресретнува инсталации на апликации и да испраќа tracking линкови до рекламни платформи кои добиваат заслуга за тие инсталации.

Според Kaspersky, операторите на малициозниот софтвер моментално го користат исклучиво за измами со реклами, односно ги користат заразените уреди за тајно кликање на реклами и заработуваат за секој клик. Но напаѓачите лесно можат да го искористат софтверот за целосна далечинска контрола врз погодените уреди, предупредува компанијата.

Поврзаност со други големи Android ботнети?

Загрижувачки е што истрагата на Kaspersky откри поврзаност помеѓу Keenadu и три други големи Android ботнети — BADBOX, Triada и Vo1d — што укажува на одредено ниво на координација меѓу најголемите мобилни малициозни операции. Безбедносната компанија откри повеќе случаи каде BADBOX активно распоредувал Keenadu модули на компромитирани системи, како и докази што ја поврзуваат Triada со BADBOX преку заедничка инфраструктура. „Овие наоди покажуваат дека неколку од најголемите Android ботнети комуницираат меѓу себе“, соопшти Kaspersky. „Во моментов потврдивме врски меѓу Triada, Vo1d и BADBOX, како и поврзаноста меѓу Keenadu и BADBOX.“

Kaspersky објави индикатори за компромитација што можат да им помогнат на погодените корисници да проверат дали нивните уреди се заразени. Во случаи кога уредот доаѓа со Keenadu претходно инсталиран на ниво на фирмвер, единственото решение е целосна замена на фирмверот. Дотогаш, корисниците треба да престанат да го користат заразениот уред, соопшти Kaspersky. На уреди каде Keenadu е присутен во системска апликација наместо во фирмвер, корисниците треба да се обидат да најдат чиста замена за апликацијата. Во спротивно, треба целосно да ја оневозможат заразената апликација за да спречат нејзино извршување. Корисниците кои можеби презеле заразена апликација од продавница од трета страна можат едноставно да ја деинсталираат апликацијата за да ја ублажат заканата.

Извори:

• DarkReading – Supply Chain Attack Embeds Malware in Android Devices DarkReading