در تحولی نگران‌کننده در پاییز ۱۴۰۳، محققان امنیتی شرکت Bitdefender پرده از یک کمپین مخرب گسترده برداشتند که طی آن، بدافزارهای سطح فریم‌ور (Firmware-level) پیش از رسیدن گوشی‌های هوشمند به دست مشتریان، بر روی دستگاه‌های اندرویدی ارزان‌قیمت نصب شده‌اند. این رخداد، امنیت زنجیره تأمین سخت‌افزار را با چالشی جدی مواجه کرده است.
معماری نفوذ: وقتی فریم‌ور علیه کاربر عمل می‌کند
برخلاف بدافزارهای رایج که از طریق دانلود برنامه‌های آلوده توسط کاربر وارد سیستم می‌شوند، این کد مخرب در سطح فریم‌ور و پیش از خروج دستگاه از کارخانه در سیستم‌عامل جای‌گذاری شده است. این به معنای آن است که بدافزار دارای امتیازات سطح بالا (Privileged) بوده و حذف آن با روش‌های معمول «بازگشت به تنظیمات کارخانه» یا «حذف اپلیکیشن» عملاً غیرممکن است. این دستگاه‌ها عمدتاً از تراشه‌های شرکت MediaTek استفاده کرده و به مهاجمان اجازه می‌دهند با استفاده از حملات RCE (اجرای کد از راه دور)، بدون اطلاع کاربر به تغییر در عملکرد برنامه‌ها و دسترسی‌های سیستمی بپردازند.
شیوه‌های کسب درآمد متقلبانه و پروکسی‌های مسکونی
طبق تحلیل‌های فنی، هدف اصلی این بدافزار دو بخش است: ۱. ایجاد درآمد از طریق کلیک‌های تبلیغاتی جعلی ۲. تبدیل گوشی‌های آلوده به گره‌های پروکسی مسکونی. در روش اول، بدافزار لایه‌های نامرئی بر روی اپلیکیشن‌های ظاهراً قانونی (مانند برنامه‌های آب‌وهوا، مدیریت فایل یا ویرایشگرهای متن) ایجاد می‌کند که بدون نمایش تبلیغ به کاربر، سیگنال نمایش موفقیت‌آمیز تبلیغ را به شبکه‌های تبلیغاتی ارسال می‌کند. در سناریوی دوم، دستگاه آلوده به یک سرور فرماندهی متصل شده و ترافیک شبکه مهاجمان را بازنشر می‌کند که می‌تواند برای مقاصد غیرقانونی مانند حملات DDoS یا کلاهبرداری‌های اینترنتی استفاده شود.
گستره جغرافیایی و برندهای درگیر
بر اساس گزارش Bitdefender، بیش از ۱۵۰ کشور جهان تحت تأثیر این کمپین قرار گرفته‌اند که کشورهای مکزیک، فرانسه، ایتالیا، ایالات متحده، آلمان، برزیل و اسپانیا بیشترین میزان آلودگی را گزارش کرده‌اند. برندهای اقتصادی و عمدتاً جان‌سخت (Rugged) مانند Doogee و Cubot در این لیست جای دارند. همچنین برخی از این دستگاه‌های آلوده به عنوان نسخه‌های تقلبی (Rip-off) محصولات سامسونگ و اپل بازاریابی شده‌اند.
مشخصات فنی و تحلیل ابعاد نفوذ
- سطح نفوذ: لایه فریم‌ور (Firmware/System Partition).
- پلتفرم درگیر: تراشه‌های MediaTek.
- مکانیزم اجرا: تزریق کد از راه دور (RCE) و استفاده از لایه‌های Overlays.
- روش مقابله: غیرفعال‌سازی از طریق ADB (Android Debug Bridge) یا فلش کردن مجدد رام سیستمی.
- تعداد برنامه‌های شناسایی شده: ۳۲ اپلیکیشن مخرب اولیه در فریم‌ور.
راهکارهای مقابله و ارزیابی نهایی
پاک‌سازی این بدافزار برای کاربران عادی بسیار دشوار است. برای کاربران پیشرفته، استفاده از ابزار Android Debug Bridge (ADB) برای متوقف کردن پکیج‌های آلوده ممکن است راهگشا باشد، اما به دلیل سطح دسترسی سیستمی، حذف کامل تنها با فلش کردن ایمیج‌های سیستمی رسمی و پاک (Clean ROM) میسر است. با این حال، پیشنهاد اصلی سردبیری SilverSky Tech این است که برای کاهش ریسک‌های امنیتی، از خرید دستگاه‌هایی با قیمت‌های مشکوک پایین و برندهای ناشناخته که استانداردهای امنیتی و به‌روزرسانی منظمی ندارند، اکیداً خودداری شود.
