A fabricante de antivírus Avast descobriu que alguns telefones Android já vêm infectados com aplicativos malignos (malwares) no seu sistema

A empresa fabricante de antivírus Avast disse ter descoberto que mais de 100 modelos diferentes de smartphones de baixo custo já vêm com aplicativos malignos (malwares) pré instalados em seu sistema. 

As revelações foram feitas em uma postagem feita pela Avast no seu blog. Segundo a empresa, entre os smartphones afectados, estão incluídos os fabricados pela empresa chinesa ZTE, Archos, e a prestigio. 

Trata-se de um adware (aplicativo feito para maliciosamente colocar anúncios no ecrã do usuário sem o consentimento deste), que já havia sido descoberto em 2016 por outra empresa vendedora de soluções de segurança chamada Dr. Web, baseada na russia, a qual o baptizou com o nome de “cosiloon”. 

Ele cria uma camada acima de uma página da internet para mostrar anúncios quando os usuários estiverem a navegar pela internet, para publicitar aplicativos e oferecer opções para baixar jogos duvidosos da rede Baidu. 

De acordo com a avast o malware consiste dois APKs (Android Aplication Packages) separados, um dropper e um payload. 

O dropper age como ponto de entrada porque ele é que baixa o payload que é o malware propriamente dito. 

Foram encontradas duas variantes do dropper que a avast designou com as letras “A” e “B”. 

Segundo aquela empresa de segurança cibernética o dropper variante A é um pequeno aplicativo que não possui ofuscação e encontra-se localizado no /system partition dos dispositivos, e é apenas visível ao usuário na lista dos aplicativos do sistema aparecendo com dois nomes “CrashService” e “ImeMess”. 

Este dropper baixa um manifesto XML contendo informações sobre os ficheiros baixar, os serviços a iniciar como também uma “lista branca” de dispositivo e países que devem ser excluídos de infecções. 

A variante B do dropper, se incorpora no SystemUI do usuário tornando-se quase impossível de remover pelos usuários. De acordo com a Avast encontrou-se o código deste dropper escondido no package com.android.keyguard. 

A variante B do dropper baixa uma versão ligeiramente diferente do payload para os dispositivos todavia esta é menos popular possuindo apenas 200 dispositivos affectados. 

Os payloads que são os malwares propriamente ditos, vem “fortemente ofuscados e muito complexos” porque, segundo a Avast, alem da renomeação de classes e uso de reflection, eles também incluem method calls inseridos de forma aleatória no código os quais não afectam o estado da aplicacao ou que são inúteis. 

imagem publicada pela avast indicando pop-ups criados pelos malwares

Foram descobertas nos laboratórios da avast acima de cem versões diferentes dos payloads, e segundo a empresa os alguns dos payloads podem disfarçar-se como aplicativos do sistema para não serem detectados facilmente podendo aparecer apenas nas definições com nomes como “MediaService”, “eVideo2Service”, and “VPlayer”. 

Dispositivos afectados 

Há razoes suficientes especialmente se você é um usuário de dispositivos de baixo custos, os quais são populares num pais como moçambique. 

De acordo com a lista publicada no Google docs pela avast existem cerca de cem modelos dispositivos infectados com que tiveram mais de 10 usuários únicos no mês passado, mas existem outros cerca de 800 modelos com menos de 10 usuarios no mês passado os quais não foram listados. Segundo a Avast a maioria dos dispositivos afectados não foram certificados pela Google. 

Mas a empresa relata que apenas no mês passado foi achada a ultima versão do malware em cerca de 18,000 dispositivos de usuários do seu antivírus, espalhados por mais de 100 países diferentes, entre os quais estão incluídos a Rússia, a Alemanha, a India, a o Reino Unido e alguns usuários dos Estados Unidos da América. 

Mitigação do problema dos malwares

Segundo a Avast alguns antivírus Android podem ate remover o payload mas o dropper o baixa e instala de novo logo depois, e o dropper não pode ser removido do dispositivo porque vem no Firmware Read-Only do dispositivo. 

Mas a Avast disse ter contactado a Google a qual está a tomar medidas para a mitigação das capacidades maliciosas de muitas variantes de aplicativos. 

Também Segundo a Postagem houve uma baixa no numero de dispositivos infectados por novas versões do playload apartir do momento em que o Google play protect foi actualizado para eliminar o Colisoon, fazendo deste a melhor alternativa para os usuários se protegerem dos malwares. 

A Google também contactou aos desenvolvedores de firmwares de modo a trazer consciência sobre estas preocupações e encorajou-os a fazer face ao assunto. 

Isso não é bom para a ZTE 

A ZTE ocupa o segundo lugar e é a maior fabricante de aparelhos na lista, isso só agrava a situação da empresa que já está em problemas com o governo americano por ter violado as sanções Ianques contra o irão e a correia do norte. 

Mas segundo os relatos da Avast ainda não está claro em que momento da cadeia de abastecimento estes aplicativos são instalados, se pelo fabricante, OEM, ou pela portadora.