Κακόβουλο λογισμικό Android σε νέα τηλέφωνα: Τι δείχνουν πραγματικά οι αναφορές για διείσδυση στην αλυσίδα εφοδιασμού

Τι συνέβη

Διεθνή τεχνολογικά μέσα δημοσίευσαν πρόσφατα αναφορές που υποδεικνύουν ότι ορισμένα smartphone Android έφτασαν σε συσκευασία λιανικής με προεγκατεστημένο κακόβουλο λογισμικό. Η κάλυψη περιλάμβανε περιφερειακά δημοσιεύματα από τα Nextapple News, Overclockers.ru, Menow, PhoneWorld και Hi-Tech Mail.ru, με επίκεντρο αυτό που οι ερευνητές ονόμασαν εκστρατεία Midnight Mimosa. Η κεντρική ανησυχία σε αυτές τις αναφορές ήταν η παράδοση ηλεκτρονικών ειδών ευρείας κατανάλωσης που είχαν παραβιαστεί πριν ο αγοραστής ενεργοποιήσει τη συσκευή. Σύμφωνα με τα δημοσιεύματα, οι τελικοί χρήστες άνοιγαν τη συσκευασία του υλικού τους μόνο για να ανακαλύψουν ανώμαλες δραστηριότητες στο παρασκήνιο, επίμονα ερεθίσματα adware και ύποπτα προφίλ διαμόρφωσης ήδη ενεργά στη συσκευή. Σε πολλές περιπτώσεις, τεχνικοί παρατηρητές σημείωσαν ότι ο μη εξουσιοδοτημένος κώδικας λειτουργούσε με αυξημένα δικαιώματα στη συσκευή, προκαλώντας άμεσους συναγερμούς σχετικά με την ακεραιότητα των δικτύων διανομής ηλεκτρονικών ειδών ευρείας κατανάλωσης. Αντί να στρέφονται προς ένα συμβατικό παραβιασμένο ιστότοπο ή έναν κακόβουλο σύνδεσμο που κατέβασε ένας ανυποψίαστος χρήστης, οι αναφορές επικεντρώθηκαν ακριβώς στον αγωγό εφοδιασμού υλικού. Το ζήτημα πέρασε τα γλωσσικά σύνορα μέσα σε λίγες ημέρες, προκαλώντας ανησυχία μεταξύ διανομέων κινητών συσκευών, διαχειριστών εταιρικών στόλων και μεμονωμένων καταναλωτών σχετικά με την αξιοπιστία του υλικού που φτάνει σφραγισμένο από το εργοστάσιο. Επειδή τα κινητά τηλέφωνα αποτελούν το κεντρικό αποθετήριο για επικοινωνίες, χρηματοοικονομική ταυτοποίηση και προσωπικά δεδομένα ταυτότητας, οι αναφορές για παραποίηση σε επίπεδο υλικού προκαλούν αναπόφευκτα επείγοντα ερωτήματα. Ο βασικός άξονας της αφήγησης επικεντρώθηκε σε δύο συγκεκριμένα μοντέλα Android που αναγνωρίστηκαν ως φέροντα μη εξουσιοδοτημένο κώδικα στο εργοστασιακό τους firmware.

Τι γνωρίζουμε

Η λειτουργική δομή του σύγχρονου λειτουργικού συστήματος Android χωρίζεται σε αυστηρά λογικά διαμερίσματα που έχουν σχεδιαστεί για να διατηρούν την ασφάλεια, να διατηρούν την ακεραιότητα της πλατφόρμας και να διαχωρίζουν τα δεδομένα χρήστη από τα βασικά στοιχεία του λειτουργικού συστήματος. Σε τυπικές διαμορφώσεις, το βασικό λειτουργικό σύστημα βρίσκεται σε διαμερίσματα συστήματος, προμηθευτή και προϊόντος μόνο για ανάγνωση, ενώ τα αρχεία που εγκαθιστά ο χρήστης, οι προσωρινές μνήμες εφαρμογών και οι προσωπικές διαμορφώσεις παραμένουν απομονωμένα στο διαμέρισμα userdata που επιτρέπει εγγραφή. Όταν κατασκευάζεται μια συσκευή, η στοίβα λογισμικού περνά από πολλά διακριτά εταιρικά επίπεδα πριν φτάσει στον καταναλωτή. Οι προμηθευτές πυριτίου παρέχουν βασικά πακέτα υποστήριξης πλακέτας, τα οποία οι κατασκευαστές αρχικού σχεδιασμού ενσωματώνουν σε προσαρμοσμένες διατάξεις πλακέτας μαζί με προγράμματα οδήγησης περιφερειακών τρίτων. Από εκεί, οι κατασκευαστές αρχικού εξοπλισμού και οι περιφερειακοί διανομείς συχνά ενσωματώνουν τοπικές εφαρμογές βοηθητικών προγραμμάτων, ιδιόκτητα κελύφη διεπαφής και προφορτώσεις εμπορικών συνεργατών πριν δημιουργήσουν τις τελικές υπογεγραμμένες εικόνες flash. Η τεχνική αναφορά σχετικά με την εκστρατεία Midnight Mimosa αποκαλύπτει έναν πολύπλοκο λειτουργικό μηχανισμό που διχάζει την κακόβουλη διαδικασία σε δύο διακριτές φάσεις. Αντί να τοποθετείται μια πλήρης, επιθετική σουίτα απάτης διαφημίσεων απευθείας στις εικόνες εκκίνησης, η διανομή βασίζεται σε ελάχιστα, άκρως συγκαλυμμένα στοιχεία φορτωτή που βρίσκονται σε πρώιμες διαμορφώσεις συστήματος. Αυτοί οι προεγκατεστημένοι φορτωτές είναι σχεδιασμένοι να εκτελούνται κρυφά κατά την αρχική πρόσβαση στο δίκτυο. Μόλις ο φορτωτής αποκτήσει συνδεσιμότητα δικτύου με την καθορισμένη απομακρυσμένη υποδομή εντολών, ζητά οδηγίες και στη συνέχεια ανακτά δευτερεύοντα ωφέλιμα φορτία. Αυτά τα δευτερεύοντα στοιχεία συχνά μιμούνται συνηθισμένα βοηθητικά προγράμματα, εργασίες συστήματος στο παρασκήνιο ή τυπικά βοηθητικά προγράμματα καταναλωτών, μερικές φορές μεταμφιεζόμενα ως νόμιμα εργαλεία ή αποκτώντας μονάδες απάτης διαφημίσεων απευθείας μέσω παραβιασμένων καναλιών και καταχωρίσεων στο Google Play. Αυτός ο διαχωρισμός ελαχιστοποιεί το αρχικό αποτύπωμα της εργοστασιακής εικόνας στην εγκληματολογική ανάλυση, διατηρώντας παράλληλα τη δυνατότητα απομακρυσμένης εκτέλεσης.

Τι δεν γνωρίζουμε

Παραμένουν σημαντικά κενά σχετικά με το ακριβές σημείο στο οποίο το μη εξουσιοδοτημένο λογισμικό εισήλθε στην αλυσίδα κατασκευής και logistics. Δεν είναι επί του παρόντος γνωστό εάν τα στοιχεία του φορτωτή εισήχθησαν κατά τη διαχείριση του πηγαίου κώδικα στις εγκαταστάσεις του κατασκευαστή αρχικού σχεδιασμού, ενσωματώθηκαν μέσω παραβιασμένου κιτ ανάπτυξης λογισμικού τρίτου μέρους ή εγχύθηκαν κατά τη φυσική διανομή και αναβάθμιση firmware από περιφερειακούς μεσάζοντες. Η παγκόσμια αλυσίδα εφοδιασμού ηλεκτρονικών ειδών ευρείας κατανάλωσης περιλαμβάνει πολλαπλές παραδόσεις όπου τοπικές εικόνες λειτουργικού συστήματος εγγράφονται σε γυμνό υλικό. Ενδιάμεσα κέντρα δοκιμών, περιφερειακοί κόμβοι logistics και πάροχοι συσκευασίας χονδρικής συχνά χειρίζονται εργαλεία flash για να προσαρμόσουν πακέτα γλωσσών, να προσαρμόσουν περιφερειακά προφίλ κυψελοειδών παρόχων και να εγκαταστήσουν υποχρεωτικά κανονιστικά προφίλ. Χωρίς λεπτομερή αρχεία ελέγχου από κάθε ενδιάμεση εγκατάσταση, ο εντοπισμός της προέλευσης της τροποποίησης παραμένει δύσκολος. Επιπλέον, ο συνολικός όγκος των επηρεαζόμενων μονάδων λιανικής παραμένει απροσδιόριστος. Οι δημόσιες αναφορές δεν έχουν δημοσιεύσει πλήρη αρχεία παρτίδων παραγωγής, γεωγραφικά δηλωτικά αποστολής ή σειρές σειριακών αριθμών που θα διευκρίνιζαν εάν το ζήτημα περιορίστηκε σε μία μόνο ελαττωματική παρτίδα παραγωγής ή αντιπροσωπεύει ένα συστημικό πρόβλημα διανομής που εκτείνεται σε πολλαπλές γενιές υλικού. Δεν είναι επίσης γνωστό εάν οι απομακρυσμένοι διακομιστές εντολών και ελέγχου που κατευθύνουν τις λήψεις δευτερευόντων ωφέλιμων φορτίων παραμένουν λειτουργικοί ή εάν οι καταχωρίσεις τομέων και οι υπηρεσίες φιλοξενίας τους έχουν κατασχεθεί από παρόχους δικτύου. Χωρίς ενεργή ανάλυση κίνησης σε λειτουργικές συσκευές, το πλήρες εύρος της τηλεμετρίας που συλλέγεται από συσκευές τελικών χρηστών δεν μπορεί να επαληθευτεί ανεξάρτητα.

Τι ισχυρίζονται

Δημόσια μέσα ενημέρωσης και τεχνικοί σχολιαστές έχουν κυκλοφορήσει αρκετούς ισχυρισμούς σχετικά με την ανθεκτικότητα και τη φύση της μόλυνσης. Αναφορές από τα Nextapple News, Overclockers.ru, Menow, PhoneWorld και Hi-Tech Mail.ru παρουσίασαν την αφήγηση ότι οι συσκευές ήταν οπλισμένες από το κουτί, απαιτώντας μηδενική αλληλεπίδραση χρήστη για να εδραιώσουν μη εξουσιοδοτημένη επιμονή στο παρασκήνιο. Ένας εξέχων ισχυρισμός σε αυτές τις αναφορές υποστήριζε ότι το κακόβουλο λογισμικό υπάρχει μόνιμα ενσωματωμένο στο διαμέρισμα συστήματος μόνο για ανάγνωση, επιτρέποντάς του να επιβιώνει από πλήρεις επαναφορές εργοστασιακών ρυθμίσεων επ' αόριστον. Σύμφωνα με αυτή την ερμηνεία, οι συνήθεις διαδικασίες αποκατάστασης που είναι προσβάσιμες σε έναν καταναλωτή λιανικής—όπως η εκτέλεση επαναφοράς συστήματος από τις ρυθμίσεις της συσκευής—είναι εντελώς αναποτελεσματικές για την αποβολή της απειλής. Οι σχολιαστές ισχυρίστηκαν επίσης ότι το κακόβουλο πλαίσιο σχεδιάστηκε ειδικά για να παρακάμπτει το Google Play Protect και τα συμβατικά εργαλεία ανίχνευσης τελικών σημείων κρύβοντας τα λειτουργικά του στοιχεία μέσα σε νόμιμα πακέτα υπηρεσιών προμηθευτή. Σε αυτή την εκδοχή, η βασική σχέση εμπιστοσύνης της συσκευής είναι αμετάκλητα παραβιασμένη από το εργοστάσιο, καθιστώντας τη φυσική συσκευή μη ασφαλή για συναλλαγές ή αποθήκευση διαπιστευτηρίων. Τέλος, διάφορες αναφορές υποδήλωναν ότι ο υποκείμενος στόχος της εκστρατείας Midnight Mimosa ήταν η εκτεταμένη παρακολούθηση καταναλωτών παράλληλα με τη δημιουργία εσόδων από διαφημίσεις στο παρασκήνιο. Αυτές οι περιγραφές χαρακτήριζαν την εκστρατεία ως ένα επιθετικό συνδικάτο νομισματοποίησης που χρησιμοποιεί την τοποθέτηση σε επίπεδο εργοστασίου για να εγγυηθεί υψηλά ποσοστά επιβίωσης καθ' όλη τη διάρκεια ζωής των καταναλωτών.

Τι έχει επαληθευτεί

Μια αυστηρή επισκόπηση της λειτουργικής μηχανικής δείχνει ότι οι ανταγωνιστικές εξηγήσεις πρέπει να αξιολογηθούν χωριστά με βάση την τεχνική σκοπιμότητα και τους περιορισμούς της αρχιτεκτονικής Android. Η εξήγηση ότι τα στοιχεία κακόβουλου λογισμικού ενσωματώθηκαν σε διαμερίσματα συστήματος κατά τη διάρκεια της δημιουργίας firmware ή της διανομής στην αλυσίδα εφοδιασμού υλικού πριν από το άνοιγμα της συσκευασίας από τον τελικό χρήστη είναι τεχνικά εύλογη και αξιολογείται ως ΠΙΘΑΝΗ. Τέτοια ενσωμάτωση συμβαίνει τακτικά σε τεκμηριωμένα περιστατικά αλυσίδας εφοδιασμού όπου βιβλιοθήκες νομισματοποίησης τρίτων μεταγλωττίζονται απευθείας σε ιδιόκτητες εφαρμογές διαχείρισης συσκευών. Όταν ένας προμηθευτής βασίζεται σε εξωτερικούς εργολάβους για την ενσωμάτωση προγραμμάτων οδήγησης ή προφορτωμένες σουίτες βοηθητικών προγραμμάτων, κακόβουλος ή επιθετικά εμπορικός κώδικας μπορεί εύκολα να ξεφύγει από αυτοματοποιημένους κατασκευαστές εικόνων. Αντίθετα, ο ανταγωνιστικός ισχυρισμός ότι ολόκληρη η ενεργή σουίτα κακόβουλου λογισμικού υπάρχει αυστηρά στο διαμέρισμα συστήματος μόνο για ανάγνωση και επιβιώνει μόνιμα από επαναφορές εργοστασιακών ρυθμίσεων χωρίς να απαιτείται αρχική αλληλεπίδραση χρήστη ή λήψεις εξωτερικών εφαρμογών έχει ΑΠΟΚΛΕΙΣΤΕΙ. Η τεχνική αποδόμηση της δομής της εκστρατείας δείχνει ότι το προεγκατεστημένο στοιχείο firmware λειτουργεί αυστηρά ως αδρανής φορτωτής και όχι ως αυτοτελής, επίμονη μηχανή εφαρμογών. Ενώ το ίδιο το στέλεχος του φορτωτή μπορεί πράγματι να βρίσκεται σε διαμέρισμα μόνο για ανάγνωση και επομένως να επανεμφανίζεται μετά από διαγραφή συστήματος, τα ενεργά λειτουργικά του στοιχεία—οι μηχανές απάτης διαφημίσεων, οι υποκλοπείς διαπιστευτηρίων και τα στοιχεία που απευθύνονται στον χρήστη—βρίσκονται στον χώρο userdata που επιτρέπει εγγραφή. Μια επαναφορά εργοστασιακών ρυθμίσεων διαγράφει το διαμέρισμα userdata, σπάζοντας τον ενεργό βρόχο ωφέλιμου φορτίου έως ότου ο αδρανής φορτωτής μπορέσει να επανασυνδεθεί με την εξωτερική υποδομή δικτύου, να κατεβάσει ξανά την απομακρυσμένη διαμόρφωση και να εκτελέσει ξανά τον αγωγό εγκατάστασης.

Εναλλακτικές εξηγήσεις

• Πιθανή: Στοιχεία κακόβουλου λογισμικού ενσωματώθηκαν σε διαμερίσματα συστήματος κατά τη διάρκεια της δημιουργίας firmware ή της διανομής στην αλυσίδα εφοδιασμού υλικού πριν από το άνοιγμα της συσκευασίας από τον τελικό χρήστη.
• Αποκλείστηκε: Το κακόβουλο λογισμικό υπάρχει στο διαμέρισμα συστήματος μόνο για ανάγνωση και επιβιώνει από επαναφορές εργοστασιακών ρυθμίσεων χωρίς να απαιτείται αρχική αλληλεπίδραση χρήστη ή λήψεις εφαρμογών.

Τι θα άλλαζε την εκτίμησή μας

Η αναθεώρηση της τρέχουσας αξιολόγησης από ατεκμηρίωτη σε πλήρως επικυρωμένη θα απαιτούσε πρόσβαση σε επαληθευμένες κρυπτογραφικές εικόνες firmware που εξήχθησαν απευθείας από επαληθευμένες σφραγισμένες μονάδες εργοστασίου. Τα εργαστήρια ασφαλείας θα έπρεπε να συγκρίνουν τις ψηφιακές υπογραφές του εγκατεστημένου ROM με τα επίσημα αρχεία κατασκευής του προμηθευτή για να επαληθεύσουν εάν οι τροποποιήσεις προήλθαν από εξουσιοδοτημένα κλειδιά ανάπτυξης ή εισήχθησαν μέσω μη πιστοποιημένης ενδιάμεσης εγγραφής flash. Πλήρεις καταγραφές πακέτων που καταγράφουν την αρχική ακολουθία εκκίνησης αμέσως μετά το άνοιγμα της συσκευασίας υπό συνθήκες καθαρού δωματίου θα παρείχαν επαληθεύσιμα στοιχεία ενεργοποίησης του φορτωτή. Η παρατήρηση των συγκεκριμένων ερωτημάτων τομέα, των κρυπτογραφικών χειραψιών και των ροών λήψης δυαδικών αρχείων που ξεκινούν πριν από οποιαδήποτε είσοδο χρήστη θα εδραίωνε σταθερά την αυτόνομη λειτουργική φύση του ενσωματωμένου λογισμικού. Επιπλέον, η ανεξάρτητη επαλήθευση θα ωφελούνταν από την αποκάλυψη των συγκεκριμένων ονομάτων πακέτων εφαρμογών, των κατακερματισμών δυαδικών αρχείων και του απομεταγλωττισμένου πηγαίου κώδικα των ενσωματωμένων δυαδικών αρχείων του φορτωτή. Η ύπαρξη διαφανών δηλώσεων πακέτων θα επέτρεπε σε διεθνείς αναλυτές ασφαλείας να επιθεωρήσουν τα ακριβή δικαιώματα του πλαισίου Android που χορηγήθηκαν στις ύποπτες διεργασίες κατά τον χρόνο μεταγλώττισης. Τέλος, ένα επαληθευμένο ίχνος ελέγχου από τον κατασκευαστή αρχικού σχεδιασμού ή τη μονάδα συναρμολόγησης που παρακολουθεί τους φυσικούς σταθμούς flash και τα logistics της αλυσίδας εφοδιασμού θα έλυνε το ζήτημα της εισόδου. Η τεκμηρίωση του κατά πόσον οι εργάτες του εργοστασίου χρησιμοποίησαν μη εξουσιοδοτημένα σενάρια flash USB ή εάν οι αυτοματοποιημένοι διακομιστές μεταγλώττισης παραβιάστηκαν ανάντη θα εξηγούσε αποφασιστικά πώς το λογισμικό κατέληξε στο υλικό των καταναλωτών.