Вредоносное ПО Android на новых телефонах: что на самом деле показывают сообщения о проникновении через цепочку поставок

Что произошло

Международные технологические издания недавно опубликовали сообщения о том, что некоторые смартфоны Android поступили в розничной упаковке с предустановленным вредоносным ПО. Публикации охватывали региональные материалы Nextapple News, Overclockers.ru, Menow, PhoneWorld и Hi-Tech Mail.ru и были сосредоточены на том, что исследователи назвали кампанией Midnight Mimosa. Главной тревогой во всех этих сообщениях была поставка потребительской электроники, скомпрометированной ещё до того, как покупатель включил устройство. Согласно этим публикациям, конечные пользователи распаковывали свою технику и обнаруживали аномальную фоновую активность, постоянные срабатывания рекламного ПО и подозрительные профили конфигурации, уже активные на устройстве. В ряде случаев технические наблюдатели отмечали, что несанкционированный код работал с повышенными привилегиями устройства, что немедленно вызывало тревогу относительно целостности сетей распространения потребительской электроники. Вместо указания на обычный скомпрометированный сайт или вредоносную ссылку, загруженную неосторожным пользователем, эти сообщения были сосредоточены непосредственно на цепочке поставок аппаратного обеспечения. Проблема пересекла несколько языковых границ за считанные дни, вызвав обеспокоенность у дистрибьюторов мобильных устройств, менеджеров корпоративных парков техники и отдельных потребителей относительно надёжности аппаратов, запечатанных на заводе. Поскольку мобильные телефоны служат центральным хранилищем для коммуникаций, финансовой аутентификации и записей личных данных, сообщения о вмешательстве на аппаратном уровне неизбежно вызывают срочные вопросы. Основное повествование сосредоточилось на двух конкретных моделях Android, которые, как было указано, несли несанкционированный код в своей заводской прошивке.

Что мы знаем

Операционная структура современной операционной системы Android разделена на строгие логические разделы, предназначенные для обеспечения безопасности, поддержания целостности платформы и отделения пользовательских данных от основных активов операционной системы. В стандартных конфигурациях ядро операционной системы находится в разделах system, vendor и product, доступных только для чтения, тогда как устанавливаемые пользователем файлы, кэши приложений и личные конфигурации остаются изолированными в записываемом разделе userdata. При изготовлении устройства программный стек проходит через несколько различных корпоративных уровней, прежде чем достичь потребителя. Производители кремния предоставляют базовые пакеты поддержки плат, которые оригинальные разработчики-изготовители интегрируют в пользовательские компоновки плат вместе с драйверами периферийных устройств от третьих сторон. Оттуда оригинальные производители оборудования и региональные дистрибьюторы часто включают локализованные служебные приложения, проприетарные оболочки интерфейса и коммерческие партнёрские предустановки, прежде чем сформировать окончательные подписанные образы прошивки. Технические публикации о кампании Midnight Mimosa раскрывают сложный операционный механизм, который раздваивает вредоносный процесс на две отдельные фазы. Вместо размещения полного, агрессивного набора рекламного мошенничества непосредственно в загрузочных образах, распространение опирается на минимальные, тщательно скрытые компоненты-загрузчики, находящиеся в ранних системных конфигурациях. Эти предустановленные загрузчики спроектированы так, чтобы незаметно выполняться при первом доступе к сети. Как только загрузчик устанавливает сетевое соединение со своей назначенной удалённой командной инфраструктурой, он запрашивает инструкции и впоследствии получает вторичные полезные нагрузки. Эти вторичные компоненты часто маскируются под обычные утилиты, фоновые системные задачи или стандартные потребительские инструменты, иногда выдавая себя за легитимные инструменты или получая модули рекламного мошенничества напрямую через скомпрометированные каналы и листинги Google Play. Такое разделение минимизирует первоначальный криминалистический след заводского образа, сохраняя при этом возможность удалённого выполнения.

Чего мы не знаем

Остаются значительные пробелы относительно точного операционного момента, когда несанкционированное ПО попало в цепочку производства и логистики. В настоящее время неизвестно, были ли компоненты-загрузчики внедрены во время управления исходным кодом на предприятии оригинального разработчика-изготовителя, интегрированы через скомпрометированный комплект разработки программного обеспечения третьей стороны или внедрены во время физической прошивки при распространении региональными посредниками. Глобальная цепочка поставок потребительской электроники включает множество передач, при которых локализованные образы операционной системы прошиваются на чистое аппаратное обеспечение. Промежуточные испытательные лаборатории, региональные логистические центры и оптовые упаковочные компании часто используют инструменты прошивки для настройки языковых пакетов, кастомизации региональных профилей сотовых операторов и установки обязательных регуляторных профилей. Без детальных записей аудита от каждого промежуточного объекта выявление происхождения модификации остаётся затруднительным. Кроме того, общий объём затронутых розничных единиц остаётся неустановленным. Публичные сообщения не опубликовали полные записи производственных партий, географические манифесты отгрузки или диапазоны серийных номеров, которые могли бы прояснить, была ли проблема ограничена одной дефектной производственной партией или представляет собой системную проблему распространения, охватывающую несколько поколений аппаратного обеспечения. Также неизвестно, остаются ли удалённые серверы командования и управления, направляющие загрузку вторичных полезных нагрузок, действующими, или их регистрации доменов и услуги хостинга были изъяты сетевыми провайдерами. Без активного анализа трафика на действующих устройствах полный объём телеметрии, собранной с устройств конечных пользователей, не может быть независимо проверен.

Что утверждается

Публичные СМИ и технические комментаторы распространили несколько категоричных утверждений относительно устойчивости и природы заражения. Сообщения в Nextapple News, Overclockers.ru, Menow, PhoneWorld и Hi-Tech Mail.ru представили повествование о том, что устройства были вооружены из коробки, не требуя никакого взаимодействия с пользователем для установления несанкционированного фонового присутствия. Заметное утверждение в этих сообщениях гласило, что вредоносное ПО существует постоянно встроенным в системный раздел, доступный только для чтения, что позволяет ему выживать после полного сброса к заводским настройкам бесконечно. Согласно этой интерпретации, обычные процедуры исправления, доступные розничному потребителю — например, восстановление системы из настроек устройства — полностью неэффективны для изгнания угрозы. Комментаторы также утверждали, что вредоносная структура была специально спроектирована для обхода Google Play Protect и обычных инструментов обнаружения конечных точек путём сокрытия своих операционных модулей внутри легитимных сервисных пакетов поставщика. В этом изложении базовое доверительное отношение аппарата безвозвратно скомпрометировано с заводского цеха, что делает физическое устройство небезопасным для транзакционных вычислений или хранения учётных данных. Наконец, различные сообщения предполагали, что основной целью кампании Midnight Mimosa был обширный мониторинг потребителей наряду с фоновой генерацией рекламного дохода. Эти описания характеризовали кампанию как агрессивный синдикат монетизации, который использует размещение на заводском уровне для гарантии высоких показателей выживания на протяжении жизненных циклов потребителей.

Что проверено

Строгий обзор операционной механики указывает на то, что конкурирующие объяснения должны оцениваться отдельно на основе технической осуществимости и ограничений архитектуры Android. Объяснение, что компоненты вредоносного ПО были интегрированы в системные разделы во время сборки прошивки или распространения в цепочке поставок аппаратного обеспечения до распаковки конечным пользователем, технически правдоподобно и оценивается как ВОЗМОЖНОЕ. Такая интеграция регулярно происходит в документированных инцидентах цепочки поставок, когда сторонние библиотеки монетизации компилируются непосредственно в проприетарные приложения управления устройствами. Когда поставщик полагается на внешних подрядчиков для интеграции драйверов или предустановленных служебных наборов, вредоносный или агрессивно коммерческий код может легко проскользнуть мимо автоматизированных сборщиков образов. Напротив, конкурирующее утверждение, что весь активный набор вредоносного ПО существует строго в системном разделе, доступном только для чтения, и постоянно выживает после сброса к заводским настройкам без необходимости первоначального взаимодействия с пользователем или загрузки внешних приложений, было ИСКЛЮЧЕНО. Техническая деконструкция структуры кампании демонстрирует, что предустановленный компонент прошивки действует строго как спящий загрузчик, а не как самодостаточный, постоянный движок приложений. Хотя сам загрузочный фрагмент действительно может находиться в разделе, доступном только для чтения, и таким образом появляться после стирания системы, его активные операционные компоненты — движки рекламного мошенничества, перехватчики учётных данных и модули, ориентированные на пользователя — находятся в записываемом пространстве userdata. Сброс к заводским настройкам стирает раздел userdata, разрывая цикл активной полезной нагрузки до тех пор, пока спящий загрузчик не сможет снова подключиться к внешней сетевой инфраструктуре, повторно загрузить удалённую конфигурацию и снова запустить конвейер установки.

Конкурирующие объяснения

• Возможно: Компоненты вредоносного ПО были интегрированы в системные разделы во время сборки прошивки или распространения в цепочке поставок аппаратного обеспечения до распаковки конечным пользователем.
• Исключено: Вредоносное ПО существует в системном разделе, доступном только для чтения, и выживает после сброса к заводским настройкам без необходимости первоначального взаимодействия с пользователем или загрузки приложений.

Что изменило бы нашу оценку

Пересмотр текущей оценки с необоснованной на полностью подтверждённую потребовал бы доступа к проверенным криптографическим образам прошивки, извлечённым непосредственно из проверенных заводских запечатанных единиц. Лабораториям безопасности потребовалось бы сравнить цифровые подписи установленного ROM с официальными записями сборки поставщика, чтобы проверить, произошли ли модификации от авторизованных ключей разработки или были внесены через неаутентифицированную промежуточную прошивку. Полные записи пакетов, фиксирующие начальную последовательность загрузки из коробки в условиях чистого помещения, предоставили бы проверяемые доказательства активации загрузчика. Наблюдение за конкретными запросами доменов, криптографическими рукопожатиями и потоками загрузки бинарных файлов, инициированными до любого ввода пользователя, твёрдо установило бы автономный операционный характер встроенного ПО. Кроме того, независимая проверка выиграла бы от раскрытия конкретных имён пакетов приложений, хэшей бинарных файлов и декомпилированного исходного кода встроенных бинарных файлов загрузчика. Наличие прозрачных манифестов пакетов позволило бы международным аналитикам безопасности проверить точные разрешения фреймворка Android, предоставленные подозрительным процессам во время компиляции. Наконец, проверенный аудиторский след от оригинального разработчика-изготовителя или сборочного предприятия, отслеживающий физические станции прошивки и логистику цепочки поставок, решил бы вопрос о точке входа. Документирование того, использовали ли заводские работники несанкционированные USB-скрипты прошивки или были ли автоматизированные серверы компиляции скомпрометированы выше по цепочке, окончательно объяснило бы, как ПО попало на потребительское аппаратное обеспечение.