בעל טלפון Doogee Fire 3 Max כתב בפורום XDA שאחרי עדכון קושחה רשמי צצו במכשיר שלו אפליקציות שהוא לא התקין. הוא החזיר את הקושחה לגרסה הקודמת והן נעלמו, התקין את העדכון שוב והן חזרו. חוקרי Bitdefender שבדקו את התופעה מצאו שהקוד הזדוני לא הגיע מאפליקציה שמישהו הוריד, אלא יושב בקושחה של המכשיר עצמו, כלומר היה שם לפני שהקופסה נפתחה.

מה קרה

את הקמפיין Bitdefender מכנה Midnight Mimosa, ולפי הדוח שפרסמה ב-8 באוקטובר הוא פעל כשנתיים ונמצא באלפי מכשירים ביותר מ-150 מדינות. מדובר בטלפוני אנדרואיד זולים על שבבי MediaTek, בהם Doogee S200 X ו-Cubot KINGKONG X, וגם מכשירים שמתחזים לדגמים של סמסונג ואפל. הקוד מתחזה לרכיב מערכת ונושא שמות כמו com.android.system.lite או com.android.sys.prot. הוא חתום ורץ בהרשאות מערכת, ולכן מסך הסרת האפליקציות הרגיל לא מציע עליו שום כפתור.

מה הוא עושה שם? בעיקר מייצר כסף. הוא מתקין בשקט אפליקציות שנראות שימושיות לגמרי, מזג אוויר, מנהל קבצים, מנעול אפליקציות, עורך אודיו, והחוקרים סופרים לפחות 32 כאלה. הן טוענות פרסומות אמיתיות דרך ספריית פרסום לגיטימית לתוך חלון שקוף מעל המסך, כך שמפרסמים משלמים על חשיפות שאף אדם לא ראה. אחת מהן, שמתחזה למנעול אפליקציות, מכילה רכיב שמחבר את הטלפון לשרת של התוקפים ומאפשר להם לנתב דרכו תעבורת אינטרנט. בפועל החיבור הביתי של בעל הטלפון הופך לכתובת שדרכה אחרים פועלים, והמקור האמיתי של התקיפה נעלם. לשירות הזה קוראים residential proxy, ויש לו שוק משלו.

פרט אחד מסביר למה זה החזיק כל כך הרבה זמן: רגע לפני כל התקנה הנוזקה מכבה את אפליקציית חנות Play, ומדליקה אותה בחזרה כשההתקנה נגמרה. ההגנה המובנית של גוגל, Play Protect, רצה משם. מי שתל את הקוד בקושחה ובאיזה שלב בשרשרת הייצור, לא ידוע; Bitdefender מצאה קושחה חתומה בתעודות שמקושרות ליצרן הסיני Shenzhen Zediel אבל מדגישה שאין לה ראיה שהחברה עצמה הייתה מעורבת, ואף יצרן לא הסביר בפומבי איך הקוד נכנס לשם.

למה זה חשוב לכם

מכשירים כאלה מגיעים לישראל בעיקר מאתרי סחר מהמזרח או ממייבאים קטנים, והם נפוצים בדיוק במקומות שבהם המחיר הוא השיקול הראשון: טלפון ראשון לילד, מכשיר להורה מבוגר, טלפון שני לעבודה. הנזק מהרמאות בפרסומות נגרם למפרסמים ולא לכם, אבל הרכיב שיושב שם מקבל הרשאות מערכת ונוטל לעצמו גם גישה לשירותי הנגישות, להתראות ולקריאת SMS. Bitdefender כותבת שלא ראתה אותו משתמש בהן בפועל, רק שהן זמינות למפעיל על פי דרישה. קריאת SMS היא בדיוק מה שצריך כדי לקרוא קוד אימות חד-פעמי.

מה עושים?

בדקו בהגדרות הטלפון, במסך האפליקציות עם האפשרות להציג אפליקציות מערכת, אם מופיע שם רכיב בשם com.android.system.lite או com.android.sys.prot. אם כן, המכשיר נגוע.

אל תסתמכו על איפוס להגדרות היצרן. הקוד יושב במחיצת המערכת והאיפוס לא נוגע בו, ולפי Bitdefender ההסרה דורשת ניקוי ברמת הקושחה או השבתת הרכיב דרך ADB.

התקינו כל עדכון קושחה שהיצרן מציע. חלק מהמשתמשים בפורום דיווחו שעדכון פתר אצלם את הבעיה, אם כי אצל אחד מהם עדכון הוא שהכניס אותה.

בקנייה הבאה בדקו בהגדרות של חנות Play שהמכשיר מופיע כ-Play Protect certified. מכשיר שלא עבר את ההסמכה של גוגל הוא מכשיר שאף אחד לא בדק מה יש בקושחה שלו.

טלפון שהנוזקה שלו הגיעה בקושחה הוא לא מכשיר שנדבק, הוא מכשיר שנמכר ככה. וזה מזיז את השאלה ממה התקנתם לממי קניתם.