گزارش‌های اخیر از تحلیل‌های امنیتی نشان می‌دهد که برخی از تولیدکنندگان گوشی‌های هوشمند ارزان‌قیمت، محصولات خود را با بدافزارهای از پیش نصب‌شده روانه بازار می‌کنند که امنیت کاربران را از لحظه روشن کردن دستگاه به خطر می‌اندازد. این پدیده که تحت عنوان «بدافزار در زنجیره تأمین» شناخته می‌شود، لایه‌های زیرین سیستم‌عامل اندروید را هدف قرار داده است.
مکانیسم نفوذ: بدافزار چگونه وارد می‌شود؟
برخلاف بدافزارهایی که کاربران به صورت تصادفی از طریق وب‌سایت‌های مخرب دریافت می‌کنند، این بدافزارها در فرآیند تولید یا تأمین قطعات نرم‌افزاری (Firmware) به دستگاه تزریق می‌شوند. این یعنی کد مخرب دارای مجوزهای سیستمی (System-level privileges) است و حتی با بازگشت به تنظیمات کارخانه (Factory Reset) نیز پاک نمی‌شود. در موارد شناسایی شده اخیر، کدهای مخرب در فایل‌های سیستمی قرار گرفته‌اند که توسط لایه‌های امنیتی معمول اندروید، «امن» فرض می‌شوند.
تحلیل رفتار بدافزار در لایه سیستمی
بدافزارهای مشاهده شده که گاهی با نام‌های عملیاتی نظیر «Midnight Mimosa» شناخته می‌شوند، از کتابخانه‌های مخفی برای برقراری ارتباط با سرورهای فرمان و کنترل (C2) استفاده می‌کنند. این بدافزارها قادرند بدون دخالت کاربر، اپلیکیشن‌های دیگر را دانلود و نصب کنند، داده‌های حساس مانند پیامک‌ها و اطلاعات تماس را سرقت کنند و یا از قدرت پردازشی دستگاه برای انجام فعالیت‌های تبلیغاتی (Adware) و کلیک‌های جعلی بهره ببرند.
چالش‌های شناسایی و مقابله
مشکل اصلی در ماهیت «پیش‌فرض» بودن این بدافزارهاست. از آنجا که این کدهای مخرب در پارتیشن System یا Vendor قرار دارند، آنتی‌ویروس‌های معمولی و اسکنرهای استاندارد اندروید قادر به حذف آن‌ها نیستند، زیرا این فایل‌ها توسط سیستم‌عامل به عنوان اجزای حیاتی شناخته می‌شوند. تنها راه مقابله در این موارد، ارائه یک به‌روزرسانی (OTA Update) توسط سازنده اصلی است که در بسیاری از برندهای متفرقه و ارزان‌قیمت، هرگز اتفاق نمی‌افتد.
مشخصات فنی و تحلیل رفتاری
- نوع آلودگی: Pre-installed firmware malware
- سطح دسترسی: Root-level access / System-partition integration
- روش انتقال: آلودگی در زنجیره تأمین نرم‌افزاری (Supply Chain Compromise)
- عملکرد: سرقت داده‌های کاربر، تزریق تبلیغات غیرمجاز، نصب مخفیانه APK
- پایداری: مقاوم در برابر Factory Reset
توصیه‌های امنیتی برای کاربران و متخصصان
برای حفظ امنیت، متخصصان پیشنهاد می‌دهند که کاربران هنگام خرید دستگاه‌های میان‌رده و ارزان‌قیمت، حتماً از برندهای معتبر با سابقه به‌روزرسانی منظم استفاده کنند. همچنین استفاده از ابزارهای مانیتورینگ ترافیک شبکه مانند Wireshark یا اپلیکیشن‌های فایروال محلی می‌تواند به شناسایی ارتباطات غیرمعمول دستگاه با سرورهای خارجی کمک کند. اگر مشکوک به آلودگی سیستمی هستید، تنها راه حل مطمئن، تعویض رام دستگاه با یک رام سفارشی (Custom ROM) معتبر مانند LineageOS است که فاقد این‌گونه دسترسی‌های غیرمجاز است.
