در تازه‌ترین گزارش‌های امنیتی، محققان موفق به کشف یک کمپین بدافزاری پیچیده و گسترده با نام مستعار «Midnight Mimosa» شده‌اند که گوشی‌های هوشمند اندرویدی ارزان‌قیمت را هدف قرار داده است. این بدافزار که مستقیماً در سطح فریم‌ور (Firmware) دستگاه‌ها جاسازی شده، به مهاجمان اجازه می‌دهد تا بدون اطلاع کاربر، دستگاه را به یک «پروکسی مسکونی» (Residential Proxy) تبدیل کرده، اپلیکیشن‌های مخرب نصب کنند و در مقیاس وسیع به تقلب تبلیغاتی بپردازند.
مکانیزم عملکرد بدافزار Midnight Mimosa
برخلاف بدافزارهای سنتی که از طریق فروشگاه‌های غیررسمی یا دانلود فایل‌های آلوده وارد سیستم می‌شوند، بدافزار Midnight Mimosa بخشی از زنجیره تأمین نرم‌افزاری دستگاه‌های ارزان‌قیمت است. این بدافزار با دسترسی‌های سطح سیستم (System-level privileges) تعبیه شده است که به آن اجازه می‌دهد فرآیندهای امنیتی اندروید را دور بزند. هسته مرکزی این تهدید، تبدیل گوشی قربانی به یک گره (Node) در شبکه پروکسی مسکونی است. در این معماری، مهاجمان از آدرس IP قانونی کاربران ناآگاه برای دور زدن فیلترهای امنیتی وب‌سایت‌ها و پلتفرم‌های تبلیغاتی استفاده می‌کنند.
تبدیل دستگاه‌های کاربر به بات‌نت‌های تبلیغاتی
یکی از ابعاد نگران‌کننده این کمپین، استفاده از منابع پردازشی و شبکه کاربران برای عملیات «تقلب تبلیغاتی» (Ad Fraud) است. این بدافزار در پس‌زمینه سیستم، لینک‌های تبلیغاتی را بارگذاری کرده و بر روی آن‌ها کلیک می‌کند تا درآمدهای غیرقانونی برای گردانندگان شبکه ایجاد کند. این فرآیند علاوه بر مصرف غیرمجاز داده‌های اینترنت همراه و وای‌فای، باعث افزایش چشمگیر دمای باتری و کاهش عمر مفید سخت‌افزار دستگاه‌های ارزان‌قیمت می‌شود که خود از پیش با محدودیت‌های منابع روبرو هستند.
آسیب‌پذیری در زنجیره تأمین فریم‌ور
بررسی‌های فنی نشان می‌دهد که این کدهای مخرب در زمان تولید یا مرحله عرضه به بازار، به داخل سیستم‌عامل دستگاه تزریق شده‌اند. این موضوع نشان‌دهنده نقص جدی در زنجیره تأمین و نظارت بر نسخه‌های کاستوم اندروید است. از آنجایی که این کدها در پارتیشن‌های سیستمی قرار دارند، حتی بازگشت به تنظیمات کارخانه (Factory Reset) نیز لزوماً به حذف بدافزار منجر نمی‌شود، زیرا فایل‌های مخرب در Image اولیه سیستم‌عامل قرار داده شده‌اند.
مشخصات فنی و تحلیل رفتاری
- نوع تهدید: بدافزار فریم‌ور (Firmware-embedded malware)
- عملکرد کلیدی: ایجاد شبکه پروکسی مسکونی و Ad Fraud
- دسترسی: سطح سیستم (System Partition Integrity)
- اثرات جانبی: افزایش مصرف پهنای باند، داغی دستگاه، تقلب در کلیک‌های تبلیغاتی
- سطح ماندگاری: بالا (مقاوم در برابر بازنشانی کارخانه)
راهکارهای مقابله و ارزیابی امنیتی
برای کاربران این دسته از گوشی‌های هوشمند، تنها راهکار قطعی، شناسایی الگوهای غیرعادی مصرف دیتا و استفاده از ابزارهای مانیتورینگ شبکه است. با این حال، به دلیل اینکه بدافزار در سطح سیستم قرار دارد، حذف دستی آن عملاً غیرممکن است. پیشنهاد می‌شود کاربران از نصب برنامه‌های ناشناس خودداری کرده و در صورت امکان، از برندهای معتبر که آپدیت‌های امنیتی را به صورت مستقیم از سرورهای گوگل دریافت می‌کنند، استفاده کنند. برای توسعه‌دهندگان و متخصصان امنیت، تحلیل ترافیک خروجی دستگاه با ابزارهایی نظیر Wireshark جهت شناسایی ارتباطات مشکوک به سرورهای پروکسی، توصیه می‌شود.
