میموزای نیمه‌شب: گوشی‌های اندروید ارزان با تروجان پروکسی در فریم‌ور. چگونه مزرعه را بررسی کنیم

۸ اکتبر ۲۰۲۶، آزمایشگاه‌های Bitdefender تجزیه و تحلیل کمپین Midnight Mimosa را منتشر کردند: گوشی‌های هوشمند ارزان قیمت اندروید با چیپ‌های MediaTek از کارخانه با کدهای مخرب در بخش سیستم فریمور خارج می‌شوند. این کد تبلیغات نامرئی را نمایش می‌دهد، برنامه‌ها را بدون اجازه نصب و حذف می‌کند و یکی از ماژول‌های آن تلفن را در شبکه پروکسی‌های مقیم ثبت می‌کند. محققان هزاران دستگاه آلوده را در بیش از ۱۵۰ کشور طی تقریباً دو سال شمارش کردند. حذف این آلودگی به روش‌های معمول ممکن نیست.

برای خریدار معمولی، این داستانی درباره «گوشی‌های تقلبی Galaxy که مشکوک به ارزان بودن هستند» است. برای کسانی که مزارع تلفن را برای چند حساب کاربری، SMM، آزمایش برنامه‌ها یا پروکسی‌های موبایل خانگی نگه می‌دارند، خطر واضح‌تر است. خرید عمده گوشی‌های اندروید ارزان دقیقاً چنین مزرعه‌ای را ایجاد می‌کند. در ادامه بررسی می‌کنیم که دقیقاً چه چیزی پیدا شده، چه خطراتی برای مزرعه دارد و چگونه می‌توان دستگاه‌های خود را بررسی کرد.

چه چیزی در Midnight Mimosa پیدا شد

این کمپین توسط سیستم تشخیص ناهنجاری‌های برنامه Bitdefender شناسایی شد. این سیستم نگران برنامه سیستمی com.android.system.lite با امضای «System» بود که به آرامی برنامه‌های دیگر را نصب و حذف می‌کرد. سپس مشخص شد که این برنامه در فریمور جاسازی شده و با گواهی پلتفرم امضا شده است. بنابراین دارای حقوق سیستمی است: نصب و حذف بسته‌ها، اعطای مجوزها، تغییر تنظیمات محافظت شده.

زنجیره به چندین مرحله تقسیم شده است:

• بارگذار سیستم (com.android.system.lite و نام‌های مشابه: com.android.sys.prot, com.android.sys.gmsprot) با کتابخانه بومی libeasy.so. این کتابخانه فریمورک پنهان داخل APK را رمزگشایی می‌کند.
• فریمورک پنهان پلاگین‌ها را از سرور مدیریت دانلود کرده و کد دریافتی از راه دور را اجرا می‌کند.
• پلاگین‌ها مسئول تقلب تبلیغاتی، نصب آرام «برنامه‌های شریک» و WebView جاسازی شده هستند.
• برنامه‌های پوششی: آب و هوا، مسدودکننده برنامه‌ها، یادداشت‌ها، شناسایی متن. Bitdefender حدود ۳۲ برنامه از این نوع را شمارش کرده است.

قبل از هر نصب آرام، بدافزار pm disable com.android.vending را اجرا می‌کند، به این معنی که Google Play را غیرفعال کرده و سپس دوباره آن را فعال می‌کند. محققان فرض می‌کنند که این کار مانع از بررسی Play Protect می‌شود، اگرچه این اثر تأیید نشده است. بخشی از نمونه‌ها همچنین رکورد منبع نصب را جعل می‌کنند و برنامه به نظر می‌رسد که از Google Play دانلود شده است.

پول: تبلیغات نامرئی

درآمد اصلی از تقلب تبلیغاتی به دست می‌آید. تبلیغات در پنجره‌هایی بالای سایر برنامه‌ها نمایش داده می‌شوند، حتی زمانی که تلفن بی‌کار است. این پنجره‌ها به عنوان محافظت شده علامت‌گذاری شده‌اند، بنابراین اسکرین‌شات یا ضبط صفحه آن‌ها را نمی‌گیرد. فرکانس «کلیک‌ها» توسط پیکربندی از راه دور تعیین می‌شود و کلیک‌ها به صورت نرم‌افزاری شبیه‌سازی می‌شوند. ۶۰ ثانیه پس از نمایش، یک رویداد جعلی «تبدیل» ارسال می‌شود. درآمد به برنامه‌های پوششی می‌رود که SDKهای تبلیغاتی واقعی دارند.

ماژول پروکسی: تلفن به عنوان گره خروجی

برای موضوع ما، برنامه com.mobile.applock.en که خود را «Locket» می‌نامد، مهم است. این برنامه هیچ رابط کاربری و تبلیغاتی ندارد و تنها مجوزهای اینترنت و وضعیت شبکه را دارد. به گفته Bitdefender، این برنامه کارهای زیر را انجام می‌دهد:

1. یک اتصال TCP «خام» با سرور مدیریت در پورت ۶۰۰۰ باز می‌کند؛
2. اثر انگشت دستگاه را ارسال می‌کند: مدل، نسخه اندروید، SDK، build ID و برند؛
3. از سرور لیستی از آدرس‌ها به فرمت «میزبان، پورت» و فاصله تکرار پرسش دریافت می‌کند؛
4. برای هر آدرس یک تونل ایجاد کرده و ترافیک خارجی را در هر دو جهت از طریق خود منتقل می‌کند.

به عبارت دیگر، از طریق IP و سیم‌کارت شما، شخص دیگری به اینترنت دسترسی پیدا می‌کند. نیاز به یک توضیح صادقانه است: Bitdefender تأیید کرده است که زیرساخت ثبت‌نام تلفن‌ها را می‌پذیرد. اما دستگاه آزمایشی تازه ثبت‌نام شده هیچ وظیفه‌ای برای انتقال دریافت نکرد و سرور مدیریتی که زنده دیده شد، سپس به sinkhole تغییر طبقه‌بندی داده شد. انتقال فعال ترافیک هنوز اثبات نشده است. در عین حال، مکانیزم آماده است و می‌توان آن را با یک فرمان از سرور فعال کرد.

کدام دستگاه‌ها در معرض خطر هستند

• چیپست: MediaTek.
• مدل‌های نامبرده: Doogee S200 X و Cubot KINGKONG X. مالک Cubot در انجمن XDA بسته پنهانی com.android.sys.* را توصیف کرد که پس از حذف بازمی‌گشت. طبق یک گزارش، به‌روزرسانی رسمی فریمور بدافزار را دوباره برگرداند.
• تقلب‌ها به عنوان پرچمدار: در فریمورهای مختلف نام‌هایی مانند S25 Ultra، S26 Ultra، S24 Ultra، i17 Pro Max و مشابه وجود دارد. این‌ها کپی‌های ارزان قیمت سامسونگ و اپل هستند که در بازارهایی مانند AliExpress بسیار وجود دارند.
• جغرافیا: بیشترین آلودگی‌ها در مکزیک، فرانسه و ایتالیا، سپس ایالات متحده، آلمان، برزیل، اسپانیا و بعد یک دنباله طولانی در آفریقا، جنوب شرقی آسیا و خاورمیانه وجود دارد.

بخشی از فریمورها با گواهی CN=ZED, L=ShenZhen امضا شده‌اند که به Shenzhen Zediel مرتبط است. محققان به‌طور مستقیم اشاره می‌کنند که این موضوع مشارکت شرکت را اثبات نمی‌کند. چه کسی و در کدام مرحله از زنجیره تأمین فریمور را تغییر داده، مشخص نیست. به گفته مطبوعات اسپانیایی‌زبان، Doogee و Cubot قبلاً وصله‌هایی منتشر کرده‌اند، اما توضیح ندادند که کد چگونه به فریمور وارد شده است.

به‌طور جداگانه، Bitdefender در Google Play ۱۳ برنامه با همان کد تبلیغاتی پیدا کرده است. این برنامه‌ها به همان زیرساخت دسترسی دارند، اما حقوق سیستمی ندارند. آن‌ها تحت حداقل دو حساب توسعه‌دهنده، fivedev و CPS Developer منتشر شده‌اند.

چرا این مشکل برای مزرعه تلفن‌ها است

این اولین بار نیست که چنین موردی رخ می‌دهد. قبلاً زنجیره‌های مشابهی در رادیوهای خودرو با آپدیت‌کننده‌های هک شده و در جعبه‌های اندروید پیدا شده است. اکنون در لیست، گوشی‌های هوشمند معمولی هستند که به صورت عمده خریداری می‌شوند. این چه خطراتی دارد:

• ترافیک خارجی بر روی IP شما. اگر ماژول پروکسی شروع به انتقال ترافیک کند، IP موبایل شما در لاگ‌های سایت‌ها در کنار اسپم، تلاش برای حدس رمز عبور و اسکرپینگ قرار می‌گیرد. سیستم‌های ضد تقلب سایت‌ها شهرت آدرس را ارزیابی می‌کنند و حساب‌های موجود در مزرعه بدون دلیل واضحی شروع به دریافت بررسی‌ها و مسدودیت‌ها می‌کنند.
• هزینه ترافیک و باتری. تبلیغات نامرئی و تونل‌ها بسته موبایل و شارژ را مصرف می‌کنند. در مزرعه‌ای با ده‌ها دستگاه، این هزینه‌ها قابل توجه است.
• حساب‌های مرتبط. بدافزار به دستور خود برنامه‌ها را نصب کرده و اثر انگشت دستگاه را جمع‌آوری می‌کند. در مزرعه‌ای که هر تلفن باید به عنوان یک فرد جداگانه به نظر برسد، نرم‌افزار اضافی با سرور مدیریت مشترک ارتباط غیرضروری بین دستگاه‌ها ایجاد می‌کند.
• دسترسی به SMS و امکانات ویژه. ماژول سیستمی مجوزهایی برای Accessibility، دسترسی به اعلان‌ها و SMS درخواست می‌کند و می‌تواند آن‌ها را به خود اختصاص دهد. در حین تجزیه و تحلیل استفاده از آن‌ها، متوجه نشدند، اما بر روی تلفنی که کدهای تأیید را برای حساب‌های کاری دریافت می‌کند، چنین حقوقی خطرناک است.
• بازنشانی کمک نمی‌کند. این مؤلفه در بخش سیستم قرار دارد، بنابراین بازنشانی به تنظیمات کارخانه تلفن را به همان حالت آلوده برمی‌گرداند.

چگونه تلفن‌های خود را بررسی کنیم: چک‌لیست

Bitdefender توصیه می‌کند که به نام‌های بسته‌ها توجه نکنید، بلکه به هسته پایدار (libeasy.so, cn.kw.lib.hex, دامنه api.weatherlive.world) توجه کنید، زیرا نام‌ها تغییر می‌کنند. بدون اسکنر آنتی‌ویروس این کار دشوار است، اما غربال اولیه از طریق ADB یک دقیقه از وقت شما را می‌گیرد.

1. اشکال‌زدایی USB را فعال کنید و تلفن را به کامپیوتر با adb متصل کنید.
2. بسته‌های سیستمی مشکوک را پیدا کنید:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   یک اندروید معمولی چنین نام‌هایی ندارد. هر تطابقی دلیلی برای ایزوله کردن دستگاه است.
3. برنامه‌های پوششی را جستجو کنید:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. منبع نصب بسته مشکوک را بررسی کنید:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   اگر در آن com.android.vending ذکر شده باشد و شما برنامه را نصب نکرده باشید، رکورد ممکن است جعل شده باشد.
5. اتصالات شبکه را بررسی کنید. پورت ۶۰۰۰ به :1770 در ستون آدرس‌های دور اشاره می‌کند: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". اگر دسترسی به این فایل‌ها بسته باشد، اتصالات را در روتر مزرعه بررسی کنید.
6. سعی کنید مؤلفه را برای کاربر غیرفعال کنید: adb shell pm disable-user --user 0 <نام_بسته>. این همان مسیری است که Bitdefender درباره آن صحبت می‌کند. در برخی فریمورها، بسته‌های سیستمی این‌گونه غیرفعال نمی‌شوند و این طبیعی است. بنابراین، دستگاه باید با فریمور رسمی و تمیز دوباره فلش شود یا از کار خارج شود.
7. فریمور را از تولیدکننده بررسی کنید. اگر وصله‌ای منتشر شده است، آن را نصب کنید و سپس مراحل ۲ تا ۵ را تکرار کنید: طبق گزارش‌های مالکان، به‌روزرسانی گاهی اوقات بدافزار را دوباره برمی‌گرداند.

سطح شبکه: خروج مزرعه را ببندید

حتی تلفن‌های ظاهراً تمیز نیز مفید است که پشت روتر با لیست سفید نگه داشته شوند. فقط پورت‌ها و جهت‌هایی را که واقعاً برای برنامه‌های شما نیاز است مجاز کنید: HTTPS به سایت‌های مورد نیاز و DNS به حل‌کننده خودتان. همه چیزهای دیگر را ممنوع کنید. TCP خروجی به پورت ۶۰۰۰ و درخواست‌ها به دامنه‌های گزارش شده توسط Bitdefender در کارکرد عادی مزرعه وجود ندارد، چنین تلاشی باید نشانه‌ای از آلودگی تلقی شود. لاگ‌های روتر در طول ۲۴ ساعت نشان می‌دهند که کدام دستگاه «زنگ می‌زند» به جایی که نباید.

قوانین خرید برای آینده

• «پرچمدار» را به قیمت یک دستگاه ارزان نگیرید. S26 Ultra به قیمت یک پنجم تقریباً مطمئناً یک کپی است و کپی‌ها در این گزارش بیشتر از همه ذکر شده‌اند.
• از فروشندگان رسمی خرید کنید و مدل را با وب‌سایت تولیدکننده مطابقت دهید. این خطر را کاهش می‌دهد، اما تضمینی نمی‌دهد: Doogee و Cubot خودشان به‌طور رسمی فروخته می‌شوند.
• هر دستگاه جدیدی را قبل از ورود به مزرعه با چک‌لیست بالا بررسی کنید. پنج دقیقه در ورودی ارزان‌تر از این است که بعداً با مسدودیت‌ها در کل مزرعه سر و کار داشته باشید.
• یک ثبت‌نام نگه دارید: مدل، نسخه فریمور، تاریخ بررسی. وقتی گزارش بعدی درباره یک مدل خاص منتشر شود، شما در یک دقیقه می‌دانید که چند دستگاه از این نوع دارید.

و اگر مزرعه فقط برای IP موبایل نیاز باشد

بسیاری از افراد تلفن‌ها و مودم‌ها را فقط به خاطر آدرس موبایل خالص برای چند حساب کاربری یا اسکرپینگ نگه می‌دارند. ساخت خودتان کنترل کامل را به شما می‌دهد و در مطلب درباره پروکسی‌های موبایل به دست خودتان بررسی کردیم که این کار چه هزینه‌ای دارد. اما به همراه کنترل، شما زنجیره تأمین سخت‌افزار را نیز به عهده می‌گیرید. Midnight Mimosa نشان می‌دهد که بررسی فریمور یک دستگاه ارزان تقریباً غیرممکن است. اگر تلفن فقط به عنوان یک خروجی به شبکه نیاز دارید، می‌توانید اصلاً سخت‌افزار را نگه ندارید و پروکسی‌های موبایل با پرداخت به ازای گیگابایت بگیرید: چرخش و تغییر جغرافیا بدون خرید و فلش کردن دستگاه‌ها تنظیم می‌شود. برای کارهایی که نیاز به شبکه موبایل ندارند، آدرس‌های مقیم وجود دارد.

نتیجه‌گیری

Midnight Mimosa دیگر اولین داستان درباره ماژول‌های پروکسی در سخت‌افزار ارزان اندروید نیست. در سال ۲۰۲۶، این موارد در جعبه‌های تلویزیونی، رادیوها و اکنون نیز گوشی‌های هوشمند مشاهده شده است. یک درس کلی وجود دارد: اگر دستگاه به طرز مشکوکی ارزان است، ممکن است کسی در فریمور آن روش خود را برای کسب درآمد قرار داده باشد و یکی از این روش‌ها فروش IP شما برای ترافیک خارجی است. برای مزرعه تلفن‌ها، این به معنای سه چیز است: بررسی هر دستگاه در ورودی، بستن خروجی‌های اضافی شبکه برای مزرعه و ارزیابی منطقی اینکه آیا واقعاً به سخت‌افزار خود برای آدرس موبایل نیاز دارید یا خیر.