Prednameščeni virus na poceni telefonih MediaTek izkorišča sistemske privilegije

Omenjeni zlonamerni program se ponaša s tako imenovanim podpisom sistemskega ključa, kar mu omogoča delovanje z najvišjimi privilegiji brez potrebe po uporabniški potrditvi. Zasebnost in varnost naprav ogrožajo paketi, ki spretno posnemajo običajne sistemske komponente, saj lahko samodejno nameščajo in odstranjujejo aplikacije ter upravljajo občutljiva dovoljenja. Med prizadetimi modeli so se znašli dejanski tržni izdelki znamk Doogee in Cubot ter različne preoblečene kopije, ki posnemajo priznane paradne modele. Okužene različice so bile opažene predvsem v evropskih regionalnih različicah z oznakami J10_EEA, A9_EEA, T13_EEA in Q6_EEA.

Glavni motiv teh aktivnosti je ustvarjanje prihodkov prek skritih oglaševalskih pasic, ki se prek nevidnih oken prikazujejo v ozadju. Da bi program ostal neopažen, lahko začasno zaobide tudi varnostni nadzor Google Play Protect in ponaredi podatke o namestitvi. Poleg tega nekatere komponente okužene naprave spremenijo v posredniške točke za usmerjanje tujega omrežnega prometa. Zanimivo je, da se je del te oglaševalske kode pojavil celo v več aplikacijah uradne trgovine, čeprav tam nima sistemskih pravic za prikrito delovanje.

Izvor okužbe v uradnih programskih paketih ostaja nejasen, saj so nekateri uporabniki poročali o ponovnem pojavu težav tudi po odstranitvi okužbe ali celo po uradnih posodobitvah sistemske programske opreme. Zaradi globoke ugnezdenosti kode v sistem je odprava težave za prizadete uporabnike izjemno zahtevna, saj pogosto zahteva posege v vdelano programsko opremo (firmware) ali napredno upravljanje prek ukazne vrstice.