Zlonamjerni softver Midnight Mimosa krije se u novim telefonima

Zlonamjerni softver Midnight Mimosa, unaprijed instaliran u upravljačkom softveru sistema Android, ugrožava pametne telefone i prije nego što ih korisnici uključe, pri čemu koristi privilegije na sistemskom nivou pomoću certifikata potpisanih na nivou platforme. Kompanija Bitdefender identifikovala ga je u hiljadama jeftinijih telefona u više od 150 zemalja, čime se zlonamjernim akterima omogućava da neprimjetno instaliraju aplikacije i ostvare prihode od oglasa kroz mreže posredničkih servera.

ZLONAMJERNI SOFTVER MIDNIGHT MIMOSA

Ranjivosti u lancu snabdijevanja pokazuju da prijetnje na nivou upravljačkog softvera (eng. firmware) često djeluju kao tihi uljezi, skrivajući se duboko u hardverske osnove prije nego što korisnici uopšte stupe u kontakt sa krajnjim uređajima.

Zlonamjerni softver Midnight Mimosa iskorištava unaprijed instalirane sistemske particije i certifikate za potpisivanje sistemskih komponenti Android platforme kako bi zaobišao sigurnosne mehanizme usmjerene na korisnika. Na taj način se iskorištava prihodi od oglasa i mreže posredničkih servera, istovremeno onemogućavajući Google Play skenere.

Ova kampanja, otkrivena u hiljadama jeftinijih telefona u više od 150 zemalja, naglašava na koji način zlonamjerni softver Midnight Mimosa održava postojanost kroz neuklonjive osnovne komponente, čime se dovode u pitanje tradicionalni bezbjednosni obrasci.

Time se narušava povjerenje na hardverskom nivou prije nego što se bilo koja aplikacija uopšte pokrene. Korištenje lažnog porijekla instalatera i šifrovanih kanala za komandovanje i kontrolu (C2) dodatno otežava utvrđivanje odgovornosti. Zbog toga se korisnici i organizacije suočavaju sa pitanjem da li se integritet krajnjeg uređaja uopšte može istinski provjeriti nakon kupovine.

 

Iskorištavanje sistemske particije

Unaprijed instaliran zlonamjerni softver Midnight Mimosa unutar upravljačkog softvera sistema Android uspostavlja temeljni sloj postojanosti koji zaobilazi tradicionalne metode uklanjanja. Ugradnjom zlonamjernih komponenti direktno u sistemsku particiju, ovaj zlonamjerni softver osigurava da njegovo prisustvo ostane nepromjenjivo čak i nakon vraćanja na tvornička podešavanja ili korisničkog uklanjanja.

Ovaj pristup iskorištava suštinsku poteškoću u mijenjanju upravljačkog softvera bez specijalizovanih alata, čime se korisnicima efektivno onemogućava uklanjanje prijetnje kroz standardna okruženja za upravljanje aplikacijama. Integracija zlonamjernog softvera sa certifikatima za potpisivanje sistemskih komponenti platforme Android dodatno otežava otkrivanje, budući da oponaša stvarne sistemske procese i izbjegava pokretanje bezbjednosnih upozorenja koja se obično povezuju sa nepouzdanim softverom.

Oslanjanje zlonamjernog softvera Midnight Mimosa na povišene sistemske privilegije daje mu mogućnost upravljanja operacijama krajnjeg uređaja bez intervencije korisnika. Navedene dozvole omogućavaju tihe izmjene u ponašanju aplikacija, uključujući instalaciju pomoćnih zlonamjernih korisnih tereta. Ovi tereti djeluju bezazleno, ali imaju dvostruku svrhu u održavanju dugoročnog pristupa.

Sposobnost zlonamjernog softvera da djeluje izvan tradicionalnih ekosistema aplikacija, bilo da se radi o zaobilaženju skeniranja u okviru Google Play Protect ili izbjegavanju provjera integriteta tokom izvršavanja, ističe kritičnu ranjivost u modelima bezbjednosti upravljačkog softvera krajnjih uređaja. Takvi modeli su osmišljeni za odbranu nakon kupovine, a ne za zaštitu prije instalacije.

Uprkos odsustvu vidljivih tragova usmjerenih na korisnika, osnovna komponenta zlonamjernog softvera Midnight Mimosa ostaje aktivna kroz periodično ponovno podešavanje sistemskih procesa. Ovaj mehanizam osigurava da se, čak i ako se izmjene na površinskom nivou otkriju ili uklone, osnovna infrastruktura prilagodi kako bi održala postojanost.

Korištenje rotirajućih naziva paketa i potpisa na ugroženim krajnjim uređajima otežava napore u utvrđivanju odgovornosti, jer svaka varijanta djeluje kao zasebna, iako dijeli zajednički zlonamjerni okvir. Ovakve strategije naglašavaju na koji način postojanost na nivou upravljačkog softvera pretvara sistem Android u poprište sukoba, gdje bezbjednosne mjere sprovedene nakon kupovine ne uspijevaju da se suprotstave prijetnjama ugrađenim prije aktivacije krajnjeg uređaja.

Integracija zlonamjernog softvera Midnight Mimosa sa identifikatorima aplikacija sličnim sistemskim stvara privid legitimnosti koji nadilazi puko prikrivanje. Oponašanjem ključnih komponenti operativnog sistema, zlonamjerni softver izbjegava provjere kako automatizovanih skenera, tako i ručnih inspekcija usmjerenih na aplikacije trećih strana.

Ovaj izbor u dizajnu odražava namjerni napor da se iskoristi povjerenje u izvorne procese, čime se osigurava da čak i napredni alati za analizu ponašanja mogu previdjeti nepravilnosti, osim ako nisu izričito obučeni za otkrivanje odstupanja na nivou upravljačkog softvera. Rezultat je uporna prijetnja koja djeluje neotkriveno sve dok se njene aktivnosti ne ispolje kroz sekundarne zlonamjerne korisne terete ili mrežnu komunikaciju.

Primjena zlonamjernog softvera Midnight Mimosa unutar sistemske particije predstavlja promjenu pristupa u načinima isporuke zlonamjernog softvera, dajući prednost infiltraciji na hardverskom nivou u odnosu na tradicionalne vektore infekcije zasnovane na softveru.

Ovaj pristup ne samo da izbjegava uklanjanje, već i ponovo određuje granice bezbjednosti krajnjeg uređaja primjenom prijetnji prije nego što učešće korisnika uopšte počne. Utjecaji na provjere integriteta upravljačkog softvera su duboki, jer zahtijevaju pomak od provjere nakon kupovine ka provjeri prije instalacije, što predstavlja izazov koji trenutne industrijske prakse još uvijek nisu u potpunosti riješile.

 

Naplata kroz prevare sa oglasima i posredničke mreža

Prevara klikovima pojavljuje se kao ključni mehanizam ostvarivanja prihoda u kampanji zlonamjernog softvera Midnight Mimosa. Zlonamjerne aplikacije oponašaju aktivnosti korisnika automatskim izazivanjem lažnih klikova na oglase, pri čemu se iskorištavaju sistemi za pripisivanje zasluga oglasnih mreža radi preusmjeravanja prihoda.

Ove izmišljene radnje usmjeravaju se kroz skrivene kanale, poput api.weatherlive[.]world/odborwer_dot/cm, gdje se saobraćaj bilježi i obrađuje kao stvarna konverzija. Sposobnost zlonamjernog softvera da zaobiđe Google Play Protect tokom instalacije osigurava da ove prevare ostanu neotkrivene za standardne bezbjednosne alate. Na taj način se operatorima omogućava da ugrožene krajnje uređaje pretvore u izvor prihoda bez neposrednog rizika od otkrivanja.

Integracija zlonamjernog softvera Midnight Mimosa sa modulima za prevare sa oglasima, poput EnLoaderLib v1.0.6, omogućava ovaj proces u velikom obimu. Ovim se ugroženi telefoni pretvaraju u tihe uređaje za proizvodnju prihoda za zlonamjerne aktere.

Posrednički čvorovi stambenih mreža dodatno šire finansijski model kampanje iskorištavanjem ugroženih krajnjih uređaja kao dijela distribuiranih botnet meža. Partnerske aplikacije, poput com.mobile.applock.en, funkcionišu kao TCP posrednici za povratno povezivanje, prisiljavajući krajnje uređaje da djeluju kao posrednici u tunelima za podatke.

Ova infrastruktura daje mogućnost zlonamjernim akterima da usmjeravaju saobraćaj kroz ugrožene krajnje uređaje, čime se prikrivaju sopstvene aktivnosti, dok se istovremeno stvara prihod od posredničkih usluga ili operacija uskraćivanja usluge.

Odsustvo vidljivih elemenata korisničkog okruženja u ovim aplikacijama osigurava da korisnici ostanu nesvjesni svoje prenamijenjene uloge. Pri tome rutine tihe instalacije zlonamjernog softvera održavaju postojanost čak i nakon prividnog vraćanja sistema na tvornička podešavanja. Korištenje ovakvih posredničkih čvorova od strane zlonamjernog softvera Midnight Mimosa naglašava njegovu dvostruku usmjerenost na ostvarivanje zarade i operativnu nevidljivost.

Tihe instalacije aplikacija od centralnog su značaja za održavanje prevara sa oglasima i botnet operacija. Privremenim onemogućavanjem usluge Google Play Protect tokom primjene, putem komandi poput pm disable com.android.vending, zlonamjerni softver zaobilazi mehanizme automatizovanog skeniranja. Na taj način se dobija mogućnost instalacije zlonamjernih korisnih tereta bez saglasnosti ili otkrivanja od strane korisnika.

Ove aplikacije često oponašaju stvarne alate, poput aplikacija za vremensku prognozu, dok u sebi nose skrivene okvire koji izvršavaju zlonamjerne funkcije. Korištenje lažnih polja instalatera dodatno prikriva njihovo porijeklo, čime se utvrđivanje odgovornosti otežava za bezbjednosne sisteme koji se oslanjaju na tradicionalne provjere porijekla instalacije.

Oslanjanje zlonamjernog softvera Midnight Mimosa na ovakve taktike osigurava da njegova infrastruktura za ostvarivanje zarade ostane otporna na mjere zaštite usmjerene na nepravilnosti na površinskom nivou.

Ostvarivanje prihoda dodatno se pojačava sposobnošću zlonamjernog softvera da dinamički mijenja zlonamjerne korisne terete na ugroženim krajnjim uređajima. Moduli poput com.dmstudio.weather i appicon.diy.tools.prop periodično se zamjenjuju novim varijantama, čime se mijenjaju njihovi haš potpisi i funkcionalne uloge, dok zadržavaju osnovne zlonamjerne sposobnosti.

Ova promjenjivost smanjuje rizik od otkrivanja kroz statičku analizu i produžava životni vijek kampanje, jer se na taj način izbjegavaju odbrane zasnovane na potpisima. Integracija modula za prevare sa oglasima sa komponentama stambenih posredničkih mreža stvara samoodrživi ekosistem u kojem svaki krajnji uređaj doprinosi i finansijskoj dobiti i širenju mreže. Na taj način se učvršćuje pozicija zlonamjernog softvera Midnight Mimosa kao višeslojne prijetnje u pejzažu mobilne bezbjednosti.

 

Izbjegavanje otkrivanja

Izvorna biblioteka pod nazivom libeasy.so dešifruje skrivene okvire, čime se zlonamjernom softveru Midnight Mimosa omogućava izvršavanje zlonamjernih korisnih tereta bez direktne vidljivosti.

Ovaj proces dešifrovanja odvija se tokom izvršavanja, čime se prikriva prisustvo zlonamjernog softvera sve dok aktivacija ne pokrene njegove osnovne funkcije. Ugradnjom ovog mehanizma unutar upravljačkog softvera izbjegavaju se alati za statičku analizu koji se radi otkrivanja oslanjaju na binarne datoteke unaprijed prevedene u mašinski kod.

Korištenje preimenovane varijante libunionprt.so dodatno otežava prepoznavanje, jer se mijenjaju očekivani potpisi datoteka. Zlonamjerni softver Midnight Mimosa iskorištava ovakvo prikrivanje kako bi izbjegao uklanjanje tokom vraćanja na tvornička podešavanja ili čišćenja koje je pokrenuo korisnik, čime se osigurava postojanost izvan tradicionalnih metoda uklanjanja softvera.

Lažno prikazano porijeklo instalacije prikriva stvarni izvor zlonamjernog softvera, budući da se u zapisima pronađenih uzoraka neistinito navodi da su instalirani putem prodavnice Google Play, iako ne sadrže kriptografske oznake koje potvrđuju njihovo porijeklo. Ova obmana navodi automatizovane skenere i forenzičke alate da ih tretiraju kao stvarne aplikacije.

Označavanjem com.android.vending kao instalatera, uz istovremeno onemogućavanje stvarne komponente prodavnice Google Play, zlonamjerni softver Midnight Mimosa eliminiše tragove koji bi inače otkrili njegovu unaprijed instaliranu prirodu. Ovakve taktike iskorištavaju praznine u provjerama integriteta krajnjeg uređaja, čime se zlonamjernom kôdu omogućava da djeluje pod maskom pouzdanog softvera bez potrebe za učešćem korisnika ili izričitom saglasnošću.

Lažni formati datoteka dodatno prikrivaju mehanizme isporuke zlonamjernih korisnih tereta zlonamjernog softvera Midnight Mimosa. Moduli se isporučuju sa domena oss.showtimetool.com pod maskom formata .png, čime se zaobilaze provjere bezbjednosnih sistema koji daju prednost poznatim potpisima prijetnji u odnosu na analizu ponašanja.

Ovaj pristup osigurava da zlonamjerni korisni tereti ostanu neotkriveni tokom početnih prenosa, a pokreću se tek nakon dešifrovanja i izvršavanja tokom rada. Kombinacija prikrivanja formata datoteka i šifrovanja zasnovanog na izvornim bibliotekama stvara višeslojnu strategiju izbjegavanja, čime se otkrivanje čini zavisnim od nadzora ponašanja u stvarnom vremenu, a ne isključivo od statičkih mjerila. Oslanjanje zlonamjernog softvera Midnight Mimosa na ove tehnike naglašava njegovu sposobnost da djeluje nesmetano tokom dužih perioda unutar ugroženih krajnjih uređaja.

 

Prikriveni kanali komunikacije i šifrovani tokovi kontrole

Mehanizam šifrovane kontrole modula oslanja se na skrivenu krajnju tačku na adresi api.weatherlive[.]world/br_upgrade/upgradesV2/getConfigs. Ovaj kanal preuzima podatke o podešavanju, čime se omogućava daljinsko prilagođavanje ponašanja zlonamjernog softvera bez direktnog učešća korisnika.

Zlonamjerni softver Midnight Mimosa iskorištava ovu infrastrukturu za dinamičku izmjenu operativnih postavki, poput ciljanja određenih oglasnih mreža ili mijenjanja rasporeda isporuke zlonamjernih korisnih tereta. Korištenje domena za vremensku prognozu prikriva pravu prirodu ove komunikacije, jer se zlonamjerni saobraćaj uklapa u stvarne zahtjeve za uslugom, što dodatno otežava napore u otkrivanju.

Daljinsko preuzimanje podešavanja odvija se kroz namjensku krajnju tačku, pri čemu se razmjenjuju šifrovani zlonamjerni korisni tereti sa ugroženim krajnjim uređajima. Ovaj proces omogućava zlonamjernim akterima da ažuriraju module zlonamjernog softvera u stvarnom vremenu, pri čemu se prilagođavaju mjerama zaštite ili šire svoje sposobnosti bez potrebe za ponovnim sastavljanjem upravljačkog softvera.

Oslanjanje zlonamjernog softvera Midnight Mimosa na ovaj mehanizam osigurava postojanost čak i ako se pojedinačne komponente prepoznaju i blokiraju, s obzirom na to da tok kontrole ostaje decentralizovan i prilagodljiv. Sloj šifrovanja dodatno prikriva redoslijed komandi, čime se smanjuje vidljivost za sisteme za otkrivanje prijetnji zasnovane na mreži.

Isporuka zlonamjernih korisnih tereta koristi server za preuzimanje na adresi oss.showtimetool[.]com, gdje se zlonamjerna sredstva prikrivaju formatima datoteka .png radi izbjegavanja alata za statičku analizu. Ova tehnika iskorištava pretpostavku da datoteke sa slikama ne sadrže izvršni kôd, čime se omogućava ugradnja modula zlonamjernog softvera unutar naizgled bezazlenog sadržaja.

Infrastruktura zlonamjernog softvera Midnight Mimosa osigurava da ovi zlonamjerni korisni tereti ostanu neotkriveni tokom prenosa i aktiviraju se tek nakon dešifrovanja na ugroženim krajnjim uređajima. Prikrivanje tipova datoteka usklađuje se sa širim strategijama izbjegavanja procesa automatizovanog skeniranja u aplikacijama usmjerenim na korisnike i sistemima pozadinskog djelovanja.

Kanali za izvještavanje telemetrije, poput api.weatherlive[.]world/odborwer_dot/cm, prenose izmišljene podatke o interakcijama nazad na servere za komandovanje i kontrolu. Ove krajnje tačke oponašaju stvarne analitičke usluge, pri čemu se bilježe lažni događaji klikova ili mjerila korištenja aplikacija, čime se stvara lažni utisak normalnog ponašanja krajnjeg uređaja.

Zlonamjerni softver Midnight Mimosa koristi ovu obmanu za održavanje operativne nevidljivosti, dok istovremeno prikuplja obavještajne podatke o okruženjima ugroženih krajnjih uređaja i obrascima ponašanja korisnika. Spajanje telemetrije sa mehanizmima za prevare sa oglasima osigurava da zlonamjerna aktivnost ostane stopljena sa rutinskim interakcijama aplikacija, čime se otežava forenzičko utvrđivanje odgovornosti.

Krajnje tačke za izvještavanje, poput 39.96.8.180:9008/ssc/rprt/bug i 120.78.215.151:80/api/bugLog, služe kao skrivene tačke ulaza za otklanjanje grešaka na nivou upravljačkog softvera ili za udaljeno upravljanje. Ovi kanali omogućavaju zlonamjernim akterima da ubace dijagnostičke komande, preuzmu sistemske zapise ili izmijene podešavanja krajnjeg uređaja bez potrebe za direktnim pristupom hardveru.

Korištenje ovakvih krajnjih tačaka od strane zlonamjernog softvera Midnight Mimosa naglašava njegovu sposobnost održavanja dugoročnog prisustva unutar ugroženih krajnjih uređaja, pri čemu se iskorištavaju praznine u bezbjednosti lanca snabdijevanja i procesima provjere upravljačkog softvera radi izbjegavanja uklanjanja. Ova infrastruktura odražava namjerni izbor u dizajnu radi osiguravanja otpornosti na konvencionalne metode sanacije.

 

Ranjivosti u lancu snabdijevanja i OEM certifikati

Dodjela MAC adrese (A0:53:94) proizvođača Shenzhen Zediel Co., Ltd. služi kao ključni identifikator za ugrožene krajnje uređaje, pri čemu se ugrožavanja podataka u upravljačkom softveru povezuju sa određenim proizvođačima hardvera.

Ovaj prefiks koji označava proizvođača uređaja daje mogućnost zlonamjernim akterima da prate pogođene krajnje uređaje kroz globalne lance snabdijevanja, bez oslanjanja isključivo na softverske tragove.

Prisustvo zlonamjernog softvera Midnight Mimosa u ovim izgradnjama naglašava na koji način se OEM certifikati, namijenjeni za opravdanu provjeru prava pristupa krajnjeg uređaja, koriste kao oružje za zaobilaženje bezbjednosnih provjera tokom proizvodnje. Isti certifikat koji koristi Zediel pojavljuje se u ažuriranjima upravljačkog softvera povezanim sa lažnim modelima vrhunskih uređaja, čime se brišu granice između orginalnog i ugroženog hardvera.

Ovaj mehanizam iskorištava povjerenje u komponente sa OEM potpisom, čime se zlonamjernom kôdu omogućava da opstane neotkriven do trenutka primjene. Uključivanje zlonamjernog softvera Midnight Mimosa u jeftine platforme kao što je MediaTek ističe širi trend: budžetski proizvođači često nabavljaju upravljački softver od dobavljača trećih strana sa lošim praksama bezbjednosti.

Ovi proizvođači često ponovo koriste certifikate na nepovezanim krajnjim uređajima, čime se stvaraju prilike za ubacivanje zlonamjernog softvera bez pokretanja upozorenja tokom provjere. Oslanjanje ove kampanje na ovakve propuste u lancu snabdijevanja otkriva sistemske rizike u načinu na koji se OEM podaci za prijavu upravljaju i provjeravaju tokom proizvodnje.

Dok lažni modeli vrhunskih uređaja oponašaju karakteristike visokog nivoa kako bi privukli kupce, njihov upravljački softver često nema stroge inspekcije koje se primjenjuju na vrhunskim uređajima. Zlonamjerni softver Midnight Mimosa ovdje cvjeta time što se ugrađuje u sistemske particije prije nego što dođe do upotrebe od strane korisnika.

Ova unaprijed instalirana priroda osigurava da ga nijedno softversko ažuriranje ili ručna provjera ne mogu ukloniti, čime se korisnici ostavljaju zavisnim od intervencija na hardverskom nivou. Povezanost zlonamjernog softvera sa brendovima poput Doogee i Cubot, dokumentovana u izvještajima foruma XDA, dodatno pokazuje na koji način se ugrožavanja lanca snabdijevanja protežu izvan izolovanih incidenata u strukturisane kampanje koje ciljaju budžetska tržišta.

Kao rezultat ovih hardverskih ranjivosti, napadi zasnovani na upravljačkom softveru postaju gotovo nevidljivi za krajnje korisnike, pa čak i za automatizovane skenere. Korištenje OEM certifikata od strane zlonamjernog softvera Midnight Mimosa pokazuje da se povjerenje u proizvodne procese može manipulisati radi ugradnje zlonamjernih korisnih tereta u velikom obimu.

Odsustvo standardizovanih provjera za dobavljače trećih strana dodatno pogoršava problem, čime se omogućava da ugrožene komponente stignu do potrošača neotkrivene. Ovaj scenario postavlja ozbiljna pitanja o tome kako se protokoli bezbjednosti lanca snabdijevanja moraju razvijati kako bi se suprotstavili prijetnjama na nivou upravljačkog softvera prije nego što se ugrade u milione krajnjih uređaja širom svijeta.

 

ZAKLJUČAK

Prisustvo zlonamjernog softvera Midnight Mimosa u unaprijed instaliranom upravljačkom softveru otkriva sistemsku eroziju povjerenja u modele hardverske bezbjednosti, jer takvi modeli pretpostavljaju da su provjere integriteta nakon kupovine dovoljne.

Ugradnjom zlonamjernih sposobnosti na nivou operacija u fabrici, ova kampanja ponovo određuje površine napada, uključujući proizvodnju krajnjih uređaja i procese lanca snabdijevanja, što su oblasti koje se tradicionalno smatraju van upravljanja rizicima krajnjeg korisnika. Oslanjanje na OEM certifikate i lažna imena modela dodatno prikriva odgovornost, čime se stvara scenario u kojem se originalnost upravljačkog softvera ne može nezavisno provjeriti bez saradnje proizvođača.

Ovaj pristup iskorištava mehanizme izvornog dešifrovanja i lažne oznake porijekla radi zaobilaženja alata za statičku analizu i provjera integriteta tokom izvršavanja, čime se tradicionalne odbrane na nivou aplikacija efektivno čine zastarjelim.

Korištenje API domena za vremensku prognozu kao kanala za komandovanje i kontrolu od strane zlonamjernog softvera Midnight Mimosa pokazuju na koji način zlonamjerni akteri prilagođavaju priznatu infrastrukturu radi prikrivanja zlonamjernih aktivnosti, čime se briše granica između bezazlenih sistemskih ažuriranja i prikrivenih tokova kontrole. Ovakve strategije ne samo da otežavaju utvrđivanje odgovornosti za prijetnju, već i prebacuju odgovornost sa programera na proizvođače, koji se sada suočavaju sa strogim ispitivanjem svojih lanaca snabdijevanja upravljačkim softverom bez presedana.

Model ostvarivanja prihoda, usmjeren na prevare sa oglasima i posredničke čvorove botnet mreže, otkriva dublju napetost u mobilnim ekosistemima: pretvaranje krajnjih uređaja korisnika u sredstva za ostvarivanje prihoda, umjesto u krajnje tačke zaštićene privatnošću.

Sposobnost zlonamjernog softvera Midnight Mimosa da upiše ugroženi hardver u udaljene mreže bez saglasnosti korisnika naglašava na koji način se ugrožavanja na nivou upravljačkog softvera mogu iskoristiti kao oružje za ekonomsko iskorištavanje velikih razmjera, čime se zaobilaze i mehanizmi zaštite prodavnica aplikacija i vlasnici krajnjih uređaja.

Dok postojeći okviri bezbjednosti daju prednost provjerama nakon instalacije, ova kampanja zahtijeva ponovnu procjenu protokola za provjeru prije početka upotrebe uređaja. Postojanost zlonamjernog softvera Midnight Mimosa u upravljačkom softveru naglašava ozbiljnu potrebu za mehanizmima nezavisne provjere koji nadilaze tvrdnje proizvođača, posebno dok se lažni modeli šire pod uglednim imenima proizvođača.

 

PREPORUKE

Otkrivanje zlonamjernog softvera Midnight Mimosa, kampanje na nivou upravljačkog softvera koja inficira uređaje sa sistemom Android prije nego što ih korisnici uopšte uključe, izložilo je kritične ranjivosti u bezbjednosti lanca snabdijevanja i u provjeri ispravnosti upravljačkog softvera uređaja. Navedene preporuke mogu doprinijeti jačanju bezbjednosti, otpornosti i spremnosti, čime se smanjuje izloženost:

1. Sprovoditi provjere ispravnosti upravljačkog softvera tokom proizvodnje i distribucije. Budući da zlonamjerni softver Midnight Mimosa djeluje na nivou upravljačkog softvera i ne može se ukloniti uobičajenim metodama brisanja softvera, proizvođači moraju sprovesti kriptografsku provjeru svih sistemskih komponenti prije isporuke radi sprječavanja neovlaštenih izmjena od strane dobavljača trećih strana ili zlonamjernih aktera.

2. Vršiti kontrolu dobavljača trećih strana u potrazi za unaprijed instaliranim softverom i hardverskim modulima. Povezanost ove kampanje sa brendovima poput Doogee i Cubot naglašava potrebu za strogom provjerom dobavljača, čime se osigurava da ažuriranja upravljačkog softvera i sistemske aplikacije nemaju skrivene zlonamjerne kôdove ili neovlaštene izmjene.

3. Primjenjivati mjere za udaljenu potvrdu ispravnosti uređaja radi provjere ispravnosti upravljačkog softvera nakon isporuke. Kako zlonamjerni softver Midnight Mimosa ugrožava pristup na sistemskom nivou prije svjesne radnje korisnika, oslanjanje isključivo na lokalne provjere je nedovoljno. Pozadinska provjera signala aplikacija i uređaja može otkriti odstupanja u ponašanju tokom izvršavanja, čak i ako zlonamjerni softver izbjegne statičku analizu.

4. Uspostaviti protokole otvorenosti lanca snabdijevanja za ažuriranja ugrađenog softvera. Korištenje zamaskiranih dodataka i lažnih naziva modela (npr. “S200 X” ili “KINGKONG X“) ukazuje na namjerne pokušaje prikrivanja porijekla. Uvođenje obaveze vidljivosti otvorenog kôda u izgradnji upravljačkog softvera i mehanizmima ažuriranja može smanjiti mogućnosti zlonamjernih aktera da neprimjetno ubace zlonamjerni kôd.

5. Unaprijediti mogućnosti praćenja telemetrije uređaja radi sumnjivih mrežnih aktivnosti. Zlonamjerni softver Midnight Mimosa obavlja komunikaciju uz pomoć šifrovanih kanala (npr. api.weatherlive.world) i koristi HTTPS sa AES šifrovanim zahtjevima. Neprekidna analiza obrazaca saobraćaja, uključujući neočekivana povezivanja ili neobične prenose podataka, može označiti ugrožene uređaje u stvarnom vremenu.

6. Uključiti u sistem mehanizme za otkrivanje odstupanja u ponašanju na samom uređaju radi prepoznavanja zlonamjernih aktivnosti tokom izvršavanja. Budući da je zlonamjerni softver Midnight Mimosa unaprijed instaliran kao sistemska aplikacija i korisnici ga ne mogu ukloniti, modeli mašinskog učenja koji prate ponašanje aplikacija, poput neovlaštenog odobravanja dozvola ili pokušaja izvršavanja kôda na daljinu (eng. remote code execution – RCE), od ključnog su značaja za rano prepoznavanje prijetnji.

7. Zahtijevati odgovornost proizvođača za bezbjednost upravljačkog softvera kroz cijeli lanac snabdijevanja. Korištenje certifikata kompanije Shenzhen Zediel u pogođenim uređajima ukazuje na nedostatke u nadzoru. Kompanije moraju preuzeti odgovornost ne samo za sopstvene komponente, već i za module trećih strana uključene u upravljački softver, čime se osiguravaju strogi procesi testiranja i provjere ispravnosti.

8. Razviti mjere zaštite protiv oponašanja porijekla iz prodavnice Google Play. Uzorci zlonamjernog softvera Midnight Mimosa bilježe se kao instalirani putem prodavnice Google Play, iako im nedostaju kriptografske oznake koje potvrđuju njihovo porijeklo. Sprovođenje dodatnih provjera izvan polja instalatera, poput provjere digitalnih potpisa ili znakova ispravnosti tokom izvršavanja, može spriječiti zlonamjerne aktere da lažno predstave stvarne izvore aplikacija.

9. Obezbijediti sigurno pokretanje i provjerena okruženja za izvršavanje radi ograničavanja napada na nivou upravljačkog softvera. Sposobnost zlonamjernog softvera Midnight Mimosa da daljinski učitava proizvoljni kôd naglašava potrebu za bezbjednosnim mjerama nametnutim hardverom koje ograničavaju neovlaštene izmjene sistemskih particija, čak i ako je zlonamjerni softver prisutan u upravljačkom softveru tokom proizvodnje.

10. Posjedovati planove za odgovor na sajber prijetnje određene za prijetnje zasnovane na upravljačkom softveru. Za razliku od tradicionalnih infekcija zlonamjernim softverom, zlonamjerni softver Midnight Mimosa zahtijeva promjene na nivou upravljačkog softvera radi otklanjanja, što se ne može riješiti uobičajenim metodama uklanjanja aplikacija ili ažuriranjem. Organizacije se moraju pripremiti za slučajeve u kojima zamjena uređaja može biti neophodna ako ranjivosti opstanu u lancu snabdijevanja.

11. Uvesti obavezu šifrovanja i provjere identiteta za sve kanale ažuriranja upravljačkog softvera. Korištenje zlonamjernog kôda uskladištenog na mrežama za isporuku sadržaja (npr. oss.showtimetool.com) od strane ove kampanje ukazuje na oslanjanje na spoljne mehanizme isporuke koji se mogu iskoristiti. Osiguravanje da su ažuriranja potpisana, šifrovana i isporučena putem bezbjednih protokola može spriječiti zlonamjerne aktere da ubace zlonamjerne module tokom distribucije.

12. Ojačati obrazovanje korisnika o modelima povjerenja u uređaje. Budući da zlonamjerni softver Midnight Mimosa ugrožava uređaje prije svjesne radnje korisnika, korisnici moraju biti informisani o rizicima povezanim sa hardverom trećih strana i važnosti provjere ugleda proizvođača. Zagovaranje opcija upravljačkog softvera otvorenog kôda može osnažiti korisnike da sami pregledaju svoje uređaje.

Otklanjanjem ovih ranjivosti kroz proaktivne mjere, zainteresovane strane mogu ublažiti dugoročni uticaj kampanja poput zlonamjernog softvera Midnight Mimosa, čime se istovremeno podstiče veća otvorenost i bezbjednost u ekosistemima uređaja sa sistemom Android.