Điện thoại Android giá rẻ bị cài sẵn mã độc biến thiết bị thành proxy dân cư
"Bitdefender reported a supply-chain malware campaign affecting low-cost Android phones built on MediaTek platforms, where preinstalled firmware malware ('com.android.system.lite') can install or remove apps, grant permissions, load remote code, and turn devices into residential proxy nodes for ad fraud and botnet activity. The issue is not fixed by normal app removal because the malware resides in the system partition; remediation requires firmware-level cleanup or vendor-side action, and Bitdefender also identified 13 related malicious apps on Google Play communicating with the same infrastructure."
Rủi ro cao do mã độc ở mức firmware có thể vượt qua biện pháp gỡ cài đặt thông thường, đồng thời hỗ trợ cài app trái phép và biến thiết bị thành proxy/botnet.
Có thể gây rò rỉ tài nguyên mạng, lưu lượng bất thường và ảnh hưởng uy tín nếu thiết bị doanh nghiệp bị lợi dụng cho gian lận quảng cáo hoặc hoạt động lạm dụng khác.
Bitdefender cho biết đã phát hiện một chiến dịch chuỗi cung ứng nhắm vào các mẫu điện thoại Android giá rẻ dùng nền tảng MediaTek, trong đó mã độc được cài sẵn trong firmware có thể biến thiết bị thành proxy dân cư để phục vụ gian lận quảng cáo và hoạt động botnet.
Thành phần chính được theo dõi với tên Midnight Mimosa, chạy với quyền hệ thống dưới tên com.android.system.lite. Mã độc này có thể cài đặt/gỡ cài đặt ứng dụng, tự cấp thêm quyền, tải mã từ xa và triển khai các tải trọng bổ sung. Bitdefender cũng ghi nhận 13 ứng dụng trên Google Play liên lạc với cùng hạ tầng điều khiển, cho thấy chiến dịch không chỉ giới hạn ở firmware.
Điểm đáng chú ý là việc gỡ ứng dụng thông thường không loại bỏ được thành phần gốc vì nó nằm trong system partition. Khắc phục cần làm sạch ở mức firmware hoặc xử lý từ phía nhà cung cấp thiết bị. Các đội kỹ thuật nên rà soát thiết bị đầu cuối, kiểm tra ứng dụng lạ, theo dõi lưu lượng proxy bất thường và ưu tiên thay thế hoặc cô lập các thiết bị bị ảnh hưởng.