Midnight Mimosa: Malware steckt vorinstalliert in Android-Handys aus 150 Ländern

Sicherheitsforscher des IT-Sicherheitsunternehmens Bitdefender haben eine vorinstallierte Firmware-Malware namens Midnight Mimosa aufgedeckt. Die Schadsoftware, deren Kernkomponente unter der Bezeichnung com.android.system.lite agiert, wurde über einen Beobachtungszeitraum von rund zwei Jahren auf Tausenden preisgünstigen Android-Geräten mit MediaTek-Plattform in über 150 Ländern identifiziert.

Tiefe Verankerung im Betriebssystem

Da die Malware mit einem Plattform-Zertifikat digital signiert ist, erlangt sie weitreichende Systemrechte und umgeht die Sicherheitsmechanismen des Android-Betriebssystems. Midnight Mimosa befindet sich bereits vor dem ersten Einschalten durch den Käufer direkt in der Firmware. Herkömmliche App-Deinstallationen entfernen die Komponente nicht, und auch ein Zurücksetzen auf die Werkseinstellungen bleibt wirkungslos.

Technisch nutzt der Schadcode die native Bibliothek libeasy.so, um über das RC4-Verfahren ein verborgenes Java-Framework zu entpacken. Über ein modulares Plugin-System werden anschließend DEX- und JAR-Dateien von Command-and-Control-Servern nachgeladen. Neben com.android.system.lite identifizierte Bitdefender weitere Systemkomponenten namens com.android.sys.prot und com.android.sys.gmsprot sowie ein Proxy-Modul mit der Bezeichnung EnLoaderLib.

Manipulationen und Tarnung

Die Schadsoftware ist in der Lage, eigenständig Apps ohne Interaktion der Nutzer zu installieren oder zu löschen, Berechtigungen zu vergeben und externen Code auszuführen.

Um Prüfungen durch Google Play Protect zu umgehen, deaktiviert die Malware den Google Play Store vor der Installation einer Payload und schaltet ihn im Anschluss wieder ein. Obwohl Berechtigungen für Bedienungshilfen (Accessibility), Benachrichtigungen und SMS vorliegen, wurden diese während der Analysephase nicht aktiv ausgenutzt.

Wer sich mit der Sicherheit seines Mobiltelefons befasst, sollte die grundlegenden Schutzmechanismen gegen Viren und Hacker kennen. Dieser kostenlose Ratgeber zeigt in 5 einfachen Schritten, wie Sie Ihr Android-Gerät effektiv absichern. 5 Schutzmaßnahmen für Android-Smartphones jetzt entdecken

Als Monetarisierungsmodelle dienen Klick- und Werbebetrug sowie die Nutzung der infizierten Geräte als Residential-Proxy-Relais. Bitdefender bestätigte eine Proxy-Komponente mit Zwei-Wege-TCP-Tunneln, konnte im Testzeitraum jedoch keine tatsächliche Weiterleitung von Datenverkehr feststellen.

Flankierend wurden mindestens 32 getarnte Apps derselben Familie dokumentiert, die sich als Werkzeuge wie Wetter-Apps, App-Locker, Dateimanager, Icon-Anpasser, Text-Scanner oder Audio-Editoren ausgaben. 13 Anwendungen mit identischem Code fanden sich im Google Play Store, verteilt über mindestens zwei Entwicklerkonten und 13 Zertifikate, die auf denselben Server verwiesen.

Betroffene Geräte und Lieferkette

Betroffen sind Budget-Smartphones von Herstellern wie Doogee und Cubot sowie gefälschte Flaggschiff-Geräte, die unter irreführenden Bezeichnungen bekannter Reihen wie Galaxy, iPhone oder Honor auf günstiger MediaTek-Hardware basieren.

Ein veraltetes Betriebssystem oder unbemerkte Sicherheitslücken können das Smartphone zu einer offenen Haustür für Cyberkriminelle machen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates und Einstellungen Datenverlust dauerhaft verhindern. Kostenlosen Android-Sicherheits-Report herunterladen

Die meisten Fundstellen registrierte Bitdefender in Mexiko, gefolgt von Frankreich, Italien, den USA, Deutschland, Brasilien und Spanien. Diese Erhebungen stellen absolute Fundstellen dar und bilden keinen relativen Infektionsanteil ab.

Ein Teil der Zertifikate ist dem Hersteller Shenzhen Zediel (Zedi Technology) zugeordnet. Eine direkte Beteiligung des Unternehmens ist jedoch nicht bewiesen, und der genaue Einschleusungspunkt in der Lieferkette wurde nicht identifiziert. Bitdefender zog Parallelen zur früheren Kampagne BADBOX 2.0, bei der über eine Million Geräte betroffen waren.

Eine Bereinigung der betroffenen Telefone ist nur durch das Aufspielen eines sauberen Firmware-Images oder das Deaktivieren über die Android Debug Bridge (ADB) möglich. Laut Bitdefender sind solche Eingriffe für die meisten Besitzer unrealistisch. IT-Sicherheitsexperten raten vor diesem Hintergrund vom Erwerb unbekannter oder gefälschter Mobiltelefone ab.