Điểm chính

  • Mã độc Midnight Mimosa lây nhiễm trực tiếp vào firmware thiết bị Android ngay từ chuỗi cung ứng.
  • Mã độc sử dụng chứng chỉ nền tảng để tự động cài đặt ứng dụng và cấp quyền mà không cần người dùng can thiệp.
  • Kẻ tấn công ngụy trang module dưới dạng tệp PNG và qua mặt Google Play Protect để duy trì quyền kiểm soát.

Các nhà nghiên cứu bảo mật đã phát hiện chiến dịch mã độc Android mang tên Midnight Mimosa, nổi bật với phương thức lây nhiễm trực tiếp vào firmware từ chuỗi cung ứng thay vì qua các kênh truyền thống.

Cơ chế hoạt động và quyền hạn hệ thống

Mã độc này chứa một thành phần ẩn mang tên "System", được ký bằng chứng chỉ nền tảng và hoạt động dưới quyền người dùng hệ thống. Nhờ đó, nó có khả năng tự động cài đặt các gói ứng dụng cũng như cấp quyền mà không cần người dùng thao tác. Khi thiết bị khởi động, một thư viện native sẽ tiến hành giải mã tệp APK nhúng thông qua thuật toán RC4 để tải lên một framework Java ẩn, tiếp tục nhận các module DEX và JAR từ máy chủ điều khiển nhằm thay đổi hành vi điện thoại.

Kỹ thuật né tránh và duy trì sự hiện diện

Để qua mặt công cụ bảo mật Google Play Protect, mã độc thường xuyên vô hiệu hóa rồi kích hoạt lại Google Play Store. Đồng thời, nó ngụy trang các module tải xuống dưới dạng tệp PNG nhằm gây khó khăn cho quá trình phân tích tĩnh. Khả năng duy trì của mã độc được đảm bảo thông qua các ứng dụng vỏ bọc như công cụ thời tiết hay quản lý tệp, thực hiện hành vi click quảng cáo gian lận ngầm.

Biện pháp khắc phục cho người dùng

Vì mã độc nằm sâu trong firmware, người dùng thông thường không thể tự gỡ bỏ bằng cách gỡ ứng dụng đơn thuần, đòi hỏi sự can thiệp từ nhà cung cấp thiết bị. Người dùng nên chú ý các dấu hiệu như tự động cài đặt ứng dụng lạ, lưu lượng mạng tăng bất thường hoặc xuất hiện các ứng dụng quảng cáo không rõ nguồn gốc.