Ponsel Murah Bawa Bahaya Tersembunyi

Ponsel Murah Bawa Bahaya Tersembunyi – Sebuah kampanye malware baru yang dijuluki ‘Midnight Mimosa’ berhasil ditemukan bercokol di dalam ponsel pintar Android berharga murah.

Perangkat-perangkat tersebut terbukti dikirimkan ke pasaran dengan perangkat lunak berbahaya yang sudah tertanam langsung di dalam firmware mereka.

Sehingga memungkinkan penyerang untuk memasang aplikasi secara diam-diam, melakukan kecurangan iklan (ad fraud), hingga menyulap perangkat korban menjadi proksi residensial.

Malware ini diyakini menyusup di suatu tempat sepanjang rantai pasokan perangkat (supply chain), namun hingga kini masih belum jelas pihak mana yang paling bertanggung jawab atas modifikasi firmware tersebut atau pada tahap apa penyusupan itu terjadi.

Malware ini disematkan secara langsung ke dalam sistem firmware perangkat Android murah yang menggunakan chipset MediaTek. Hal ini memberikan hak istimewa tingkat sistem (system-level privileges).

Yang memungkinkan malware untuk memasang serta menghapus aplikasi, memberikan izin akses sensitif, dan mengeksekusi kode unduhan jarak jauh tanpa memerlukan interaksi dari pengguna.Baca juga:

Penyebaran Global dan Penyamaran Merek Ternama

Menurut laporan para peneliti keamanan, kampanye ini telah berdampak pada ribuan perangkat di lebih dari 150 negara selama kurang lebih dua tahun. Wilayah dengan jumlah korban tertinggi tercatat di:

Meksiko.
Prancis.
Italia.
Amerika Serikat.
Jerman.
Brasil
Dan Spanyol.

Para peneliti menemukan malware prainstal ini pada perangkat dengan nama model yang diasosiasikan dengan produsen sah, seperti:

Doogee S200 .
Cubot KINGKONG X.
Serta ponsel tiruan yang menyerupai produk Samsung dan Apple.

Dalam sebuah unggahan di forum XDA, sejumlah pemilik ponsel Cubot dan Doogee melaporkan menemukan aplikasi mencurigakan yang secara otomatis memasang kembali diri mereka sendiri setelah dihapus.

Bahkan, seorang pemilik Doogee Fire 3 Max melaporkan bahwa pembaruan firmware resmi justru menginfeksi perangkatnya dengan malware tersebut. Infeksi itu sempat hilang saat ia memulihkan versi firmware lama, namun kembali muncul begitu pembaruan sistem dipasang ulang.

Beberapa pengguna menyebutkan bahwa produsen telah merilis pembaruan firmware untuk mengatasi infeksi tersebut, namun pihak produsen belum pernah memberikan penjelasan publik mengenai bagaimana perangkat lunak berbahaya itu bisa menyusup ke dalam firmware mereka.

Menyamar Sebagai Sistem Android dan Lompati Proteksi

Tidak seperti malware Android konvensional yang mewajibkan pengguna untuk mengunduh aplikasi berbahaya secara manual, Midnight Mimosa sudah tertanam di partisi sistem (system partition) perangkat sejak pertama kali dibeli.

Program berbahaya ini menyamar sebagai paket sistem Android yang sah dengan menggunakan nama-nama seperti:

com.android.system.lite.
com.android.sys.prot.
com.android.sys.gmsprot.

Karena aplikasi-aplikasi ini ditandatangani (signed) dan berjalan dengan hak istimewa sistem yang tinggi, mereka tidak dapat dihapus melalui proses pencopotan aplikasi normal di Android.

Peneliti menemukan kampanye ini setelah teknologi deteksi anomali aplikasi mereka menandai sebuah aplikasi sistem mencurigakan bernama com.android.system.lite yang secara diam-diam memasang dan menghapus aplikasi lain.

Investigasi lebih lanjut menyimpulkan bahwa aplikasi tersebut merupakan bagian dari kerangka kerja malware yang lebih besar, yang mengunduh modul tambahan dari server Command-and-Control (C2) untuk menjalankan berbagai aktivitas jahat.

Para peneliti mengidentifikasi sekitar 32 aplikasi yang didistribusikan melalui kerangka kerja ini, termasuk aplikasi yang disamarkan sebagai:

Utilitas cuaca.
Manajer file.
Pengunci aplikasi.
Alat OCR.
Editor audio.

Aplikasi-aplikasi ini dimanfaatkan untuk menghasilkan impresi dan klik iklan palsu, di mana sebagian di antaranya menampilkan iklan di jendela tersembunyi atau berinteraksi secara otomatis tanpa sepengetahuan pemilik perangkat.

Untuk mengelabui perlindungan keamanan Android, malware ini bahkan sengaja melumpuhkan sementara aplikasi Google Play Store (com.android.vending).

Sebelum memasang aplikasi berbahaya guna mencegah Google Play Detect mendeteksi instalasi tersebut. Setelah selesai, malware akan mengaktifkan kembali Play Store agar tidak menimbulkan kecurigaan.

Fitur Proksi Residensial dan Varian di Google Play Store

Selain kecurangan iklan, malware ini juga dilengkapi fitur yang mengubah ponsel Android korban menjadi proksi residensial yang dapat meneruskan (relay) lalu lintas jaringan.

Para peneliti mengidentifikasi aplikasi berbahaya yang menyamar sebagai pengunci aplikasi (com.mobile.applock.en), yang memuat komponen proksi TCP untuk mendaftarkan perangkat terinfeksi ke server pengendali jarak jauh.

Hal ini memungkinkan penyerang merutekan lalu lintas jahat melalui koneksi internet pemilik ponsel, sehingga asal-usul serangan asli dapat disembunyikan.

Menariknya, para peneliti juga menemukan 13 aplikasi Android yang didistribusikan secara resmi melalui Google Play Store yang memuat kode kecurangan iklan serupa dan berkomunikasi dengan infrastruktur Midnight Mimosa.

Kendati tidak memiliki hak istimewa tingkat sistem untuk memasang aplikasi lain secara diam-diam, aplikasi-aplikasi tersebut tetap mampu menampilkan iklan tersembunyi saat ponsel tidak digunakan.

Tantangan Pembersihan dan Langkah Mitigasi

Bagi konsumen yang terdampak, menghapus malware ini bukanlah perkara mudah karena posisinya yang tertanam sebagai aplikasi sistem berhak istimewa tinggi.

Pembersihan infeksi ini memerlukan pembersihan tingkat firmware atau menonaktifkan komponen berbahaya menggunakan Android Debug Bridge (ADB), yang tentu cukup rumit bagi sebagian besar pengguna awam.

Baca artikel lainnya: