Certos smartphones e tablets com sistema operacional Android de baixo custo são fornecidos com firmware malicioso, que secretamente reúne dados sobre os dispositivos infectados, exibe anúncios em cima de aplicativos em execução e realiza downloads de arquivos APK indesejados nos dispositivos da vítima.
Analistas de segurança da fornecedora do antivírus Dr.Web, descobriram dois tipos de Trojans que foram incorporadas no firmware de um grande número de dispositivos Android que operam na plataforma MediaTek.
Os trojans, detectados como Android.DownLoader.473.origin e Android.Sprovider.7, são capazes de recolher dados sobre os dispositivos infectados, entrar em contato com seus servidores de comando e controle, se atualizar de forma automática, secretamente baixar e instalar outros aplicativos.
A lista de modelos de dispositivos Android afetados pelo firmware malicioso são:
Lenovo A319, Lenovo A6000, MegaFon Login 4 LTE, Bravis NB85, Bravis NB105, Irbis TZ85, Irbis TX97, Irbis TZ43, Irbis tz56, Pixus Touch 7.85 3G, SUPRA M72KG, SUPRA M729G, SUPRA V2N10, Itell K3300, Digma Plane 9.7 3G, General Satellite GS700, Nomi C07000, Optima 10.1 3G TT1040MG, Marshal ME-711, 7 MID, Explay Imperium 8, Perfeo 9032_3G, Prestigio MultiPad Wize 3021 3G, Prestigio MultiPad PMT5001 3G, Ritmix RMD-1121, Oysters T72HM 3G, Irbis tz70, e Jeka JK103.
“Sabe-se que os criminosos geram sua renda aumentando as estatísticas de download de aplicativos e distribuindo softwares de publicidade. Portanto, [ambos os Trojans] foram incorporados ao firmware do Android porque os terceirizados desonestos que participaram da criação de imagens do sistema Android decidiram ganhar dinheiro com os usuários.”
O trojan Android.Sprovider.7 foi descoberto no firmware dos smartphones Lenovo A319 e Lenovo A6000, já o trojan Android.DownLoader.473.origin foi encontrado nos dispositivos restantes. Além de realizarem o download de outros programas e aplicativos indesejados, ambos instalam um programa de publicidade chamado H5GameCenter.
O aplicativo H5GameCenter exibe uma imagem pequena em cima de todos os aplicativos em execução, e não há nenhuma opção para desativá-lo. Mesmo se os usuários infectados removerem esse aplicativo, o trojan de firmware reinstalará o aplicativo.