低价 Android 手机出厂预装恶意软件，可将其变为住宅代理

低价 Android 智能手机出厂时固件中就预装了恶意软件，使不法分子能够隐蔽地安装应用、实施广告欺诈，并将设备变为住宅代理。

这一活动针对基于 MediaTek 平台、横跨多个品牌的 Android 设备，被 Bitdefender 追踪并命名为 Midnight Mimosa。

这款预装恶意软件（"com.android.system.lite"）以系统级权限运行，使其能够安装或卸载应用、为自己授予无障碍服务、通知和短信的额外权限，并加载由运营者远程提供的任意代码。

具体而言，它会从外部服务器获取远程配置，然后下载并执行额外的载荷，用于实施广告欺诈以及静默安装或删除合作伙伴应用。这些应用集成了代理软件、广告欺诈和代码执行功能。它还可以向任何 Android 应用包授予权限。

"这实质上意味着其运营者可以随意安装和删除应用，按自身需求调校每台设备，包括让它们成为大型僵尸网络的一部分，" 这家罗马尼亚网络安全公司表示。

"这一方案的设计目的很可能主要是创收。运营者实施广告和点击欺诈，收集设备和已安装应用的信息，并将受感染设备变成住宅代理中继节点，使其沦为僵尸网络中的傀儡。"

值得强调的是，该恶意软件本身并不实施欺诈性点击。相反，变现工作由伪装成看似无害的实用工具的投放应用（dropper apps）驱动，它们负责通过一个合法的广告软件开发工具包（SDK）加载真实广告。最终目标是在应用之上加载一个不可见的窗口，以记录已展示的广告。

Bitdefender 表示，总共在 Google Play 上发现了 13 个与控制该恶意软件的相同服务器通信的应用，表明该活动并不局限于预装固件——

com.audify.editor.wavrge
appicon.diy.tools.prop
com.audify.editor.pro
com.prorestore.qr
com.message.recovery.prorestore
com.go.weather.mot
com.cool.weather.yl
com.dmstudio.weather
com.dl.guard.lock
picturetranslate.extractor.text.lite
com.notemaster.record.mark
com.arabmusic.tap.aghani_tamerhosny
org.life.goal.tools

该恶意软件的一个显著特点是，它在安装载荷应用之前会先禁用 Google Play Store 应用，这很可能是为了绕过 Play Protect 防护，然后在载荷运行后再重新启用该应用。

此外，该恶意软件还在固件使用归属于中国 Android 设备制造商 Shenzhen Zediel Co., Ltd 的证书签名的设备上被检测到。不过，目前尚不清楚该证书所有者是否参与或知晓该恶意软件的部署。但 Bitdefender 指出，在调查过程中它还检测到了其他公司名称。

该恶意软件的预装性质表明设备供应链已遭入侵，Bitdefender 强调其与 Android.Phantom 存在一定程度的基础设施重叠——后者由 Doctor Web 记录为捆绑在魔改游戏和热门应用中以实施点击 fraud。

绝大多数受感染设备位于墨西哥，其次是法国、意大利、美国、德国、巴西、西班牙、英国、加拿大、罗马尼亚、波兰和泰国。

这并不是第一次发现针对 Android 设备的固件级后门。去年年底，Kaspersky 披露了另一种代号 Keenadu 的恶意软件的细节，该恶意软件被发现预装在某些运行 Android 的平板电脑型号上，主要用于实施广告欺诈。

"预装恶意软件属于另一种威胁类别，" Bitdefender 表示。"每一种面向用户的防御措施都假定安装时所有者是知情的：安装提示、商店审核、Play Protect，以及之后卸载的能力。"

"修复不能依赖卸载。由于根组件随系统分区一同出货，受影响的用户无法通过常规途径将其移除。清理设备需要进行固件级清理或通过 ADB 禁用该组件，而这两种方法对于大多数拥有这些手机的人来说都不现实。持久的解决方案掌握在出货和销售受影响固件的厂商和市场手中。"