Тысячи дешевых Android-смартфонов поставлялись с предустановленным вредоносным ПО, которое помимо мошенничества с рекламой могло потенциально превращать зараженные устройства в крупные ботнеты. Кампания, получившая название Midnight Mimosa от румынской Bitdefender, затрагивает устройства различных марок, продаваемые по всему миру и использующие чипы тайваньской полупроводниковой компании MediaTek. В ее основе лежит вредоносное приложение для Android, встроенное в прошивку зараженных телефонов еще до их продажи. Причем приложение работает с системными привилегиями, что позволяет ему незаметно устанавливать или удалять другие приложения, предоставлять им разрешения, а также загружать и запускать дополнительный код без согласия владельца. Исследователи полагают, что кампания, в первую очередь, нацелена на извлечение прибыли с зараженных устройств посредством мошенничества с кликами и рекламой. Вместе с тем, вредоносное ПО также может собирать информацию об устройствах и установленных приложениях и обладает возможностями, позволяющими интегрировать зараженные телефоны в ботнеты. В течение примерно двух лет Bitdefender наблюдала за распространением вредоносного ПО на тысячах устройств в более чем 150 странах. Наибольшая доля заражений пришлась на Мексику, Францию и Италию, за которыми следуют США, Германия, Бразилия и Испания. Многие из затронутых устройств, по всей видимости, являются недорогими, поддельными или контрафактными устройствами, включая модели, имитирующие более известные телефоны Samsung Galaxy и Apple iPhone. Исследователи заявили, что телефоны продаются через популярные онлайн-площадки, при этом стоимость одного из исследованных ими устройств составляла около 180 долл. Предустановленное вредоносное ПО само по себе не генерирует мошеннические рекламные показы. Вместо этого тайно устанавливает внешне легитимные приложения, мимикрирующие под легальные приложения: прогноз погоды, заметки, файловые менеджеры и др. Они используют легитимные рекламные сервисы для загрузки реальной рекламы, но могут отображать её в невидимых окнах поверх других приложений, регистрируя показы рекламы, которые пользователи фактически никогда не видят. Некоторые компоненты также могут генерировать автоматические клики. Исследователи выявили как минимум 32 таких, развернутых предустановленным вредоносным ПО. Перед установкой некоторые временно отключают Google Play Store, возможно, для того, чтобы избежать обнаружения, и снова включают его после завершения установки. Bitdefender также обнаружила 13 приложений, доступных в Google Play, которые взаимодействовали с одной и той же инфраструктурой и содержали один и тот же код для мошенничества с рекламой. В отличие от предустановленного вредоносного ПО, приложения из Play Store не обладают широкими системными привилегиями и предоставляют подлинные функции, такие как информация о погоде или сканирование QR-кодов. Однако исследователи заявили, что они также могут показывать рекламу вне приложений, в том числе и тогда, когда пользователь не использует телефон активно. Bitdefender пока не выяснила, кто установил вредоносное ПО на устройства и на каком этапе цепочки поставок оно было внедрено. Некоторые зараженные прошивки были подписаны сертификатами, принадлежащими китайской Shenzhen Zediel, которая разрабатывает и продает интеллектуальное оборудование и бытовую электронику. Bitdefender полагает, что эти сертификаты не доказывают, что компания создала вредоносное ПО, сознательно распространяла его или знала о его наличии. Исследователи заявили, что вредоносное ПО могло быть внедрено производителем оригинального устройства, интегратором прошивки, логистическим партнером или другим посредником до начала продаж телефонов.