Das Smartphone kommt frisch aus der Verpackung und ist längst infiziert. Tausende Geräte tragen den Schädling schon ab Werk in sich.
Die Sicherheitsfirma Bitdefender schlägt Alarm: Hinter der Android-Kampagne „Midnight Mimosa“ steckt Schadsoftware, die bereits im Werk in die Firmware bestimmter Geräte eingespielt wird. Nach Angaben der Forscher sind mehrere Tausend Smartphones in rund 150 Ländern betroffen, auch in Deutschland wurden Fälle registriert. Anwender können den Schädling nicht ohne Weiteres loswerden.
Die Malware sitzt tief im System, gibt sich als unscheinbare Standardkomponente aus und verschafft sich umfassende Rechte. Damit können Angreifer Informationen vom Gerät abgreifen, weitere Schadprogramme nachladen und das Smartphone in ein Botnet eingliedern. Außerdem lassen sich SMS mitlesen und verschicken, Apps installieren oder löschen und Berechtigungen vergeben.
Weltweite Verbreitung
In den vergangenen zwei Jahren war „Midnight Mimosa“ laut Bitdefender aktiv und erfasste Geräte in rund 150 Ländern. Die meisten Fälle zählten die Forscher in Mexiko, dahinter folgen Frankreich, Italien, die USA, Deutschland, Brasilien und Spanien.
Als besonders riskant gelten Offerten, in denen vermeintliche Topmodelle zu auffallend niedrigen Preisen angeboten werden. Die Auswertung von Geräte-IDs ergab, dass sich hinter manchen dieser Schnäppchen günstigere Smartphones mit MediaTek-Hardware verbargen.
Die präparierte Firmware gibt sich als Teil des Betriebssystems aus und läuft mit Systemrechten. Aufgefallen ist den Forschern eine Datei mit dem Namen „com.android.system.lite“, die wie eine reguläre Android-Komponente aussah, sich aber verdächtig verhielt. Gleichzeitig stießen sie im Google Play Store auf 13 Apps mit identischem Code, die alle auf denselben Server verwiesen.
Besonders brisant ist eine Funktion, die beim Nachladen weiteren Schadcodes die Erkennung durch Google Play Protect kurzzeitig abschaltet und danach wieder aktiviert. Auf einigen betroffenen Geräten fanden sich zudem Zertifikate eines Hardwareherstellers aus Shenzhen. Einem bestimmten Hersteller oder Verkäufer ließ sich der Fall dennoch nicht zuordnen.
Schwer entfernbar
Mit gängigen Methoden lässt sich die Schadsoftware nicht einfach beseitigen, da sie fest in der Firmware verankert ist und auf Systemebene arbeitet. Anwender müssen weder eine schädliche App installieren noch auf einen dubiosen Link klicken, denn die Infektion ist schon beim Kauf des Geräts vorhanden.
Bitdefender rät, beim Erwerb besonders billiger Smartphones auf seriöse Händler und nachvollziehbare Herstellerangaben zu achten.
