Malware Tersembunyi di Firmware Ribuan Ponsel Android

Malware Tersembunyi di Firmware Ribuan Ponsel Android – Ribuan ponsel Android di lebih dari 150 negara ditemukan menjalankan malware yang telah disisipkan ke dalam firmware sebelum perangkat dibeli oleh pengguna.

Kampanye yang dijuluki Midnight Mimosa ini menyasar perangkat berharga murah dan memberikan akses tingkat sistem kepada penyerang tanpa mengharuskan korban mengunduh aplikasi berbahaya atau mengeklik tautan mencurigakan.

Temuan ini menjadi pengingat bahwa ancaman keamanan tidak selalu berasal dari aplikasi yang dipasang pengguna. Dalam kasus tertentu, perangkat dapat membawa komponen berbahaya sejak pertama kali digunakan. Akibatnya, kebiasaan menghindari aplikasi mencurigakan saja tidak cukup untuk menjamin keamanan ponsel.

Penelitian mengenai Midnight Mimosa dipaparkan PolySwarm dalam laporan yang diterbitkan pada 19 Oktober. Analisis tersebut mengacu pada investigasi Bitdefender yang mengamati ribuan perangkat terinfeksi selama sekitar dua tahun.

Meksiko, Prancis, dan Italia mencatat jumlah infeksi teramati tertinggi, disusul Amerika Serikat, Jerman, Brasil, dan Spanyol. Angka tersebut menggambarkan infeksi yang ditemukan peneliti, bukan bukti bahwa negara-negara tersebut secara khusus menjadi sasaran serangan.

Malware Sudah Berada di Dalam Firmware

Midnight Mimosa memanfaatkan aplikasi sistem berbahaya yang ditandatangani menggunakan sertifikat platform Android. Posisi istimewa ini memungkinkan komponennya melakukan tindakan yang biasanya tidak dapat dilakukan aplikasi biasa, seperti memasang dan menghapus paket aplikasi, memberikan izin, serta mengubah pengaturan sistem yang dilindungi.

Komponen utama malware menyembunyikan fungsi pentingnya di dalam pustaka native. Ketika pustaka tersebut dimuat, malware menggunakan enkripsi RC4 untuk membuka kerangka kerja Java tersembunyi. Komponen ini kemudian menghubungi server command-and-control (C2), menerima konfigurasi, dan mengunduh modul tambahan berupa DEX atau JAR.

Modul tersebut memungkinkan operator mengubah perilaku malware tanpa harus mengganti aplikasi sistem yang menjadi komponen utamanya. Dengan mekanisme ini, fungsi berbahaya dapat ditambahkan atau disesuaikan setelah perangkat berada di tangan pengguna.

Bitdefender mengidentifikasi sedikitnya 32 aplikasi yang menyamar sebagai perangkat lunak biasa dalam jaringan payload yang lebih luas. Aplikasi tersebut mencakup kategori seperti aplikasi cuaca, pengunci aplikasi, pemindai teks, dan pengelola berkas.

Menyalahgunakan Sistem untuk Penipuan Iklan

Salah satu aktivitas yang ditemukan adalah penipuan iklan (ad fraud). Modul malware dapat menghasilkan tayangan, klik, dan peristiwa konversi palsu melalui jendela tersembunyi serta tindakan otomatis.

Aktivitas tersebut dapat membuat sistem periklanan mencatat interaksi yang sebenarnya tidak dilakukan pengguna. Penipuan semacam ini berpotensi merugikan pengiklan dan pihak lain dalam ekosistem periklanan digital.

Namun, ancaman Midnight Mimosa tidak terbatas pada iklan palsu. Kemampuannya mengunduh kode baru memungkinkan operator menambahkan fungsi lain di kemudian hari. Karena itu, risiko jangka panjang tidak dapat dinilai hanya berdasarkan modul yang telah dianalisis peneliti.

Menghindari Deteksi dan Memperluas Kemampuan

Dalam analisisnya, peneliti menemukan bahwa malware dapat menonaktifkan sementara paket Google Play Store sebelum memasang payload tambahan, lalu mengaktifkannya kembali. Perilaku ini dinilai sebagai upaya untuk menghindari deteksi Google Play Protect, tetapi bukan bukti bahwa seluruh perlindungan keamanan Android dinonaktifkan secara permanen.

Sejumlah aplikasi berbahaya juga dilaporkan mengklaim Google Play sebagai sumber instalasinya, meskipun tidak memiliki blok tanda tangan yang diterapkan melalui distribusi Play. Ketidaksesuaian ini dapat membantu peneliti membedakan informasi sumber instalasi yang diklaim aplikasi dari bukti teknis mengenai asal aplikasi sebenarnya.

Peneliti turut menemukan fungsi yang berkaitan dengan Accessibility, Notification Access, dan izin SMS, termasuk mekanisme untuk mengaktifkan akses sensitif secara otomatis. Meski demikian, penggunaan izin tersebut untuk mencuri informasi tidak teramati dalam penelitian yang dijelaskan.

Temuan lain adalah payload yang berisi perangkat lunak proxy. Komponen ini memiliki kemampuan mendaftarkan perangkat dan membuka terowongan TCP dua arah, yang secara teknis dapat memungkinkan lalu lintas dari pihak luar melewati koneksi internet ponsel yang terinfeksi.

Akan tetapi, peneliti tidak mengamati aktivitas penerusan lalu lintas tersebut selama pengujian yang didokumentasikan. Kemampuan teknis ini harus dibedakan dari bukti bahwa fungsi tersebut benar-benar telah disalahgunakan.

Perangkat Murah dan Risiko Rantai Pasok

Perangkat yang terdampak mencakup ponsel murah berbasis MediaTek, model yang menyamar sebagai produk unggulan, serta perangkat yang melaporkan pengenal terkait merek Doogee dan Cubot. Sejumlah sertifikat firmware juga memuat pengenal yang dikaitkan dengan Shenzhen Zediel.

Namun, peneliti belum dapat memastikan pada tahap mana malware masuk ke rantai pasok perangkat. Mereka juga tidak menetapkan bahwa pemilik sertifikat tersebut sengaja terlibat dalam penyebaran malware. Demikian pula, keterkaitan indikator teknis dengan malware Joker, Phantom, dan Click tidak otomatis membuktikan bahwa semuanya dioperasikan oleh pelaku yang sama.

Baca artikel lainnya