150-க்கும் மேற்பட்ட நாடுகளை எட்டிய Midnight Mimosa தீம்பொருள், ஆண்ட்ராய்டு போன் ஃபார்ம்வேரிலேயே இடம்பெற்று விற்பனை

முதல் முறையாக இயக்குவதற்கு முன்பே சமரசம் செய்யப்பட்ட போன்

150-க்கும் மேற்பட்ட நாடுகளில் ஆயிரக்கணக்கான ஆண்ட்ராய்டு சாதனங்கள் Midnight Mimosa எனப்படும் தீம்பொருள் தாக்குதலால் பாதிக்கப்பட்டுள்ளன. இதில், வாங்குபவர்கள் தங்கள் சாதனங்களை இயக்குவதற்கு முன்பே போன் ஃபார்ம்வேருக்குள் தீங்கிழைக்கும் மென்பொருள் சேர்க்கப்படுகிறது. இந்தத் தாக்குதல் நடவடிக்கையில் மறைத்து வைக்கப்பட்ட குறைந்தது 32 செயலிகளையும், அதே விளம்பர மோசடிக் குறியீட்டைக் கொண்டும் அதன் கட்டுப்பாட்டு அமைப்புடன் தொடர்புகொண்டும் இருந்த Google Play செயலிகள் 13-ஐயும் Bitdefender கண்டறிந்தது.

2026 அக்டோபர் 8 அன்று வெளியிடப்பட்டு, அக்டோபர் 9 அன்று புதுப்பிக்கப்பட்ட ஆய்வு, சுமார் இரண்டு ஆண்டுகளாகக் கவனிக்கப்பட்ட தாக்குதல் நடவடிக்கையை விவரிக்கிறது. பாதிக்கப்பட்ட சாதனங்களில் MediaTek தளங்களைப் பயன்படுத்தும் குறைந்த விலை போன்கள், Apple மற்றும் Samsung மாடல் பெயர்களைப் பயன்படுத்தும் போலிப் பொருட்கள், Doogee S200 X மற்றும் Cubot KINGKONG X எனத் தங்களை அடையாளப்படுத்தும் சாதனங்கள் ஆகியவை அடங்கும்.

Bitdefender-இன் தொழில்நுட்ப அறிக்கையில் உள்ள முக்கியக் கண்டறிதல் என்னவென்றால், சந்தேகத்துக்குரிய செயலியை வாங்குபவர் பதிவிறக்குவது இந்தத் தொற்றுக்குக் காரணமல்ல. தீங்கிழைக்கும் ஓர் அமைப்புக் கூறு சாதனத்துடனேயே வருகிறது; அதற்கு இயங்குதளத்தின் சக்திவாய்ந்த அனுமதிகள் உள்ளன, மேலும் உரிமையாளரிடம் கேட்காமலேயே கூடுதல் மென்பொருள்களை நிறுவ முடியும்.

இதனால் இந்த அச்சுறுத்தலை அகற்றுவது வழக்கத்திற்கு மாறாகக் கடினமாகிறது. தேவையற்ற வானிலைச் செயலி அல்லது செயலிப் பூட்டியை நீக்கினால், தாக்குதலின் வெளிப்படையாகத் தெரியும் ஒரு பகுதி மட்டுமே அகலக்கூடும்; அதை நிறுவிய அமைப்புக் கூறு அப்படியே இருக்கலாம். ஒரே சாதனங்களில் சில பேலோடுகள் மீண்டும் மீண்டும் தோன்றி மறைவதை ஆய்வாளர்கள் கண்டறிந்தனர்.

இந்த விசாரணையில் உறுதிப்படுத்தப்பட்டவற்றுக்கும் வரம்புகள் உள்ளன. ஃபார்ம்வேருக்குள் தீம்பொருளைச் சேர்த்தவர் யார் என்பதை அது கண்டறியவில்லை. பாதிக்கப்பட்ட போன்கள் வழியாகப் போக்குவரத்தை அனுப்பும் திறன் கொண்ட குறியீட்டை ஆய்வாளர்கள் கண்டனர்; ஆனால் அவர்களின் சோதனைச் சாதனத்துக்கு அத்தகைய போக்குவரத்து அனுப்பும் பணி எதுவும் வழங்கப்படவில்லை. முக்கியமான அனுமதிகள் தாக்குதல் நடத்துபவர்களுக்கு இருந்தபோதும், ஆய்வின்போது அவை பயன்படுத்தப்பட்டதை ஆய்வாளர்கள் கவனிக்கவில்லை.

நிறுவல்களைக் கட்டுப்படுத்தும் மறைக்கப்பட்ட கூறு

Bitdefender-இன் நடத்தை அடிப்படையிலான கண்டறிதல் தொழில்நுட்பம் com.android.system.lite-ஐக் கொடியிட்டபோது இந்த விசாரணை தொடங்கியது. அதன் பெயரும் பொதுவான System முத்திரையும் சாதாரண ஆண்ட்ராய்டு கூறு எனக் காட்டின; ஆனால் அதன் செயல்பாடுகள் வேறுபட்டிருந்தன: அது தொடர்பில்லாத செயலிகளை யாருக்கும் தெரியாமல் நிறுவியும் நீக்கியும் வந்ததுடன், முக்கியமான அணுகல் அனுமதிகளையும் மீண்டும் மீண்டும் இயக்கியது.

இந்தக் கூறுக்கு முகப்புத் திரையில் தெரியும் செயலி ஐகான் எதுவும் இல்லை. இது ஆண்ட்ராய்டு தளத்துக்கான சான்றிதழால் கையொப்பமிடப்பட்டிருந்தது, கணினி பயனராக இயங்கியது, தொடர்ந்து செயல்படும்படி அமைக்கப்பட்டிருந்தது. தொகுப்புகளை நிறுவுதல், தொகுப்புகளை நீக்குதல், பிற செயலிகளுக்கு அனுமதி வழங்குதல், பாதுகாப்பான அமைப்புகளை மாற்றுதல் ஆகிய அனுமதிகள் இதற்கு இருந்தன. போன் உரிமையாளர் பதிவிறக்கும் செயலிக்கு வழக்கமாகக் கிடைப்பதைவிட இவை மிக அதிகமான அதிகாரங்கள்.

பின்னர் ஆய்வாளர்கள் இதே தீங்கிழைக்கும் மையக் கூறை com.android.sys.prot, com.android.sys.gmsprot மற்றும் com.android.sys.bcprot உள்ளிட்ட வேறு பெயர்களிலும் கண்டறிந்தனர். போன் உரிமையாளர்கள் தெரிவித்த மற்றொரு தொகுப்பான com.android.non.szcz-யும் இதே குடும்பத்தைச் சேர்ந்தது என அடையாளம் காணப்பட்டது. வெவ்வேறு உருவாக்கப் பதிப்புகள் வெவ்வேறு பெயர்களையும், சில சந்தர்ப்பங்களில் வெவ்வேறு கையொப்பச் சான்றிதழ்களையும் பயன்படுத்தின.

கண்டறிதலுக்கும் அகற்றலுக்கும் இது முக்கியமானது: ஒரு தொகுப்பின் பெயர் மட்டுமே முழு அச்சுறுத்தலையும் வரையறுக்காது. com.android.system.lite இல்லாத போனிலும் இதே செயல்முறையின் வேறொரு பதிப்பு இருக்கக்கூடும். ஆண்ட்ராய்டின் செயலிப் பட்டியலில் காட்டப்படும் பெயரைவிட, பொதுவான நடத்தை மற்றும் அடிப்படைக் குறியீடு சிறந்த அடையாளங்களாகும்.

தொலைநிலைக் குறியீடு போனின் செயல்பாட்டை எவ்வாறு மாற்றுகிறது

தீங்கிழைக்கும் தர்க்கத்தின் பெரும்பகுதி, அமைப்புச் செயலியின் சாதாரணக் குறியீட்டில் வெளிப்படையாக இல்லாமல் libeasy.so என்ற நேட்டிவ் நூலகத்தில் மறைக்கப்பட்டிருந்தது. தொடக்கத்தில், சுமார் 142 KB அளவுள்ள உட்பொதிக்கப்பட்ட கட்டமைப்பை மறைத்துப் பின்னர் மீட்டெடுக்க, அந்த நூலகம் RC4 குறியாக்கத்தைப் பயன்படுத்தியது.

அந்தக் கட்டமைப்பு, தாக்குதலுக்கு உள்ளான சாதனங்களை இயக்குபவர்கள் கட்டுப்படுத்தும் தொலைநிலைச் சேவையான கட்டளை மற்றும் கட்டுப்பாட்டு சேவையகத்திலிருந்து அமைப்புத் தகவல்களைப் பெற்றது. ஆண்ட்ராய்டு மற்றும் ஜாவா இயங்கக்கூடிய குறியீடுகளைத் தொகுக்கப் பயன்படுத்தப்படும் வடிவங்களான DEX மற்றும் JAR கோப்புகளைப் பதிவிறக்கி ஏற்றவும் அதனால் முடிந்தது. இதனால் சாதனம் விற்கப்பட்ட பிறகும் அதன் செயல்பாட்டைத் தாக்குதல் நடத்துபவர்கள் மாற்ற முடிந்தது.

ஆய்வாளர்கள் மூன்று செருகுநிரல் குடும்பங்களைக் கண்டறிந்தனர். com.wz.sdk.DxFactory-உடன் தொடர்புடைய ஒன்று போலியான விளம்பரத் தோற்றங்களையும் கிளிக்குகளையும் கையாண்டது. com.earnsdk.lib.DxFactory மற்றும் com.gogo.third.lib.DxFactory-உடன் தொடர்புடைய மற்றவை, பிற செயலிகளை அமைதியாக நிறுவவும் நீக்கவும் உதவின; அவற்றில் பிந்தையது WebView செயல்பாட்டையும் கொண்டிருந்தது.

எனவே, இந்த அமைப்புக் கூறு ஒரே நிலையான விளம்பரத் தீம்பொருளாக இல்லாமல், தொடர்ந்து செயல்படும் கட்டுப்பாட்டுக் கருவியாக இருந்தது. இன்றைய பேலோடை அகற்றினாலும், நாளை வேறொன்றைப் பெறுவதை அது தடுக்காது. தொலைநிலைக் குறியீடு ஏற்றமும் சலுகைமிக்க அனுமதி வழங்கலும் இணைந்ததால், விசாரணையின்போது பதிவான நடத்தையைவிட அதன் சாத்தியமான செயல்பாடுகள் விரிவானவையாக இருந்தன.

சாதாரண செயலி வேடங்கள் போலிக் கிளிக்குகளை வருவாயாக மாற்றின

இந்த நடவடிக்கையின் வெளிப்படையான முக்கிய நோக்கம் பணம் ஈட்டுவதாக இருந்தது. வானிலைப் பயன்பாடுகள், செயலிப் பூட்டிகள், கோப்பு மேலாளர்கள், ஐகான் கருவிகள், உரை அடையாளம் காணும் கருவிகள், ஒலி திருத்திகள் என வேடமிட்ட குறைந்தது 32 தனித்துவமான பேலோட் செயலிகளை ஆய்வாளர்கள் கண்டறிந்தனர். சில செயலிகள் அவை தருவதாகக் கூறிய அம்சங்களை வழங்கின; மற்றவை தங்கள் பெயர் சுட்டிக்காட்டிய பணியைப் பொருள்படச் செய்யவில்லை.

உதாரணமாக, com.mobile.applock.wt செயலிப் பூட்டுக் கருவியாகத் தன்னை முன்வைத்தது; ஆனால் அந்தச் செயல்பாட்டை வழங்கத் தேவையான இடைமுகமும் குறியீடும் அதில் இல்லை. அது பயனரிடமிருந்து மறைக்கப்பட்டு, கூடுதல் தீங்கிழைக்கும் மென்பொருளை வழங்கும் நிரலான மற்றொரு தீம்பொருள் நிறுவியாகச் செயல்பட்டது. கண்டறியப்பட்ட பிற பேலோடுகளில் com.dmstudio.weather, com.dl.guard.lock மற்றும் picturetranslate.extractor.text.lite ஆகியவை அடங்கும்.

இந்த மறைமுகச் செயலிகளில் முறையான விளம்பர மென்பொருள் மேம்பாட்டுக் கருவித் தொகுப்புகள் (SDK) இருந்தன. செயலியில் விளம்பரங்களைக் காட்டவும், விளம்பரச் செயல்பாடுகளுக்குப் பணம் பெறவும் உதவும் கருவிகளே இவை. அவை இருந்ததால், மோசடியான போக்குவரத்துக்கு வருவாய் வரவு வைக்கக்கூடிய செயலி அடையாளமும் விளம்பர அடையாளமும் கிடைத்தன.

Bitdefender பாதுகாப்பு ஆய்வாளர்கள் Adrian Mihai Gozob மற்றும் Alex Baciu, தொடர்ந்து செயல்படும் அமைப்புக் கூறுக்கும் மறைமுகச் செயலிகளுக்கும் இடையிலான பணிப் பிரிவை இவ்வாறு விவரித்தனர்:

மோசடியான விளம்பரத் தோற்றங்களையும் கிளிக்குகளையும் அமைப்புச் செயலியே பதிவு செய்வதில்லை.

கட்டுப்பாட்டுக் கூறு வழிமுறைகள், நேரக் கட்டுப்பாடு மற்றும் செயற்கையான தொடர்புகளை வழங்கியது; விளம்பர அடையாளங்கள் மறைமுகச் செயலிகளுக்குச் சொந்தமானவை. செயலிகள் பகிரப்பட்ட சேவைகள் மூலம் தொடர்புகொண்டு, வானிலை API போல வேடமிட்ட கட்டுப்பாட்டுச் சேவை உள்ளிட்ட கட்டமைப்புக்கு ஒரே சாதன அடையாளத்தைத் தெரிவித்தன. இதனால் தனித்தனியாகத் தோன்றிய பயன்பாடுகள் ஒருங்கிணைந்த விளம்பர நடவடிக்கையாக இணைக்கப்பட்டன.

பயனர் தொடாமல் நிகழ்ந்த தானியங்கிக் கிளிக்குகள், சீரற்ற விளம்பர இலக்குகள், தினசரி வரம்புகள், போலியான தொடர்புகளுக்கு இடையிலான இடைவெளிகள் ஆகியவற்றைத் தொழில்நுட்ப ஆய்வு கண்டறிந்தது. 60 வினாடி நேரக் கணக்கிக்குப் பிறகு தானியங்கியாக மாற்ற அறிக்கையிடப்பட்டதையும் அது அடையாளம் கண்டது. ஒரே மாதிரியான நிகழ்வுகளைத் தொடர்ந்து உருவாக்குவதற்குப் பதிலாக, போலிச் செயல்பாட்டின் வேகத்தைக் கட்டுப்படுத்த இந்த அமைப்புகள் உதவியிருக்கலாம்.

தவிர்ப்பதற்கான இலக்காகவும் பரவல் வழியாகவும் Google Play

ஒரு பேலோடைப் பயன்படுத்துவதற்கு முன்பு, தீம்பொருள் com.android.vending எனும் Google Play Store செயலியைத் தற்காலிகமாக முடக்கியது. பின்னர் அதை மீண்டும் இயக்கியதுடன், பயனர் சாதனத்தைப் பயன்படுத்தும்போது அதை மீட்டெடுக்கும் பாதுகாப்பு ஏற்பாடும் அதில் இருந்தது. ஒவ்வொரு நிறுவலும் ஸ்கேனிங்கிலிருந்து தப்பியது என்பதற்கான ஆதாரமாக அல்லாமல், Play Protect கண்டறிதலைத் தவிர்க்கும் சாத்தியமான முயற்சியாகவே இதை Bitdefender மதிப்பிட்டது.

சில பதிப்புகள், தீம்பொருள் நிறுவிய மென்பொருள் Google Play-இலிருந்து வந்தது போலத் தோன்றும்படி ஆண்ட்ராய்டின் நிறுவி பதிவுகளையும் மாற்றின. உரிமையாளர் ஒரு செயலி எங்கிருந்து வந்தது என்பதைச் சரிபார்க்கும்போது, அந்த மறைப்பு அறிமுகமில்லாத செயலியைச் சந்தேகத்துக்குரியதாகத் தோன்றாமல் செய்யக்கூடும்.

பயனர் கோராமலேயே திறக்கப்படும் திரைகளும், பிற செயலிகளின் மேல் காட்டப்படும் மேலடுக்குகளும் விளம்பரக் காட்சிகளாகப் பயன்படுத்தப்பட்டன. ஒரு விளம்பரக் காட்சி பாதுகாப்பானதாகக் குறிக்கப்பட்டிருந்ததால், அது திரைப் படங்கள் அல்லது திரைப் பதிவுகளில் இடம்பெறவில்லை. மறைக்கப்பட்ட விளம்பரச் செயல்பாடுகளையும் தொந்தரவான காட்சிகளையும் அறிக்கை விவரிக்கிறது; எனவே இந்த நடவடிக்கை முற்றிலும் கண்ணுக்குத் தெரியாதது என்று கருதக்கூடாது.

Google Play தனியான பரவல் வழியாகவும் இருந்தது. Midnight Mimosa கட்டமைப்புடன் தொடர்புகொண்டு, அதே விளம்பர மோசடிக் குறியீட்டைக் கொண்ட 13 வெளியிடப்பட்ட செயலிகளை ஆய்வாளர்கள் அடையாளம் கண்டனர். அவை 13 தனித்துவமான கையொப்பச் சான்றிதழ்களையும், fivedev மற்றும் CPS Developer எனப் பெயரிடப்பட்ட குறைந்தது இரண்டு மேம்பாட்டாளர் கணக்குகளையும் பயன்படுத்தின.

இந்த ஸ்டோர் செயலிகளுக்கு முன்கூட்டியே நிறுவப்பட்ட அமைப்புக் கூறுகளுக்கிருந்த உயர்ந்த அனுமதிகள் இல்லை. இந்த வேறுபாடு முக்கியமானது: அவற்றைப் பதிவிறக்குவதால் மட்டும், சமரசம் செய்யப்பட்ட ஃபார்ம்வேர் கூறுக்கு இருப்பதைப் போன்ற அமைதியான நிறுவல் அதிகாரங்கள் தானாகக் கிடைக்காது. எனினும், உரிமையாளர் போனைச் செயல்படப் பயன்படுத்தாதபோதும், தங்கள் சொந்த இடைமுகத்துக்கு வெளியே விளம்பரங்களைக் காட்ட அவற்றால் முடிந்தது.

கண்டறிதல்கள் வெளியானபோது தொடர்புடைய சில செயலிகள் தொடர்ந்து கிடைத்ததாகக் கூறப்பட்டது; கருத்து கேட்டு அனுப்பப்பட்ட கோரிக்கைக்கு Google உடனடியாகப் பதிலளிக்கவில்லை. அவற்றை அகற்றுவதற்கான உறுதியான கால அட்டவணை எதுவும் இங்கு உறுதிப்படுத்தப்படவில்லை. போலி வன்பொருள் அல்லது தயாரிப்பின்போதே சமரசம் செய்யப்பட்ட போன்களுக்கு மட்டுமே பாதிப்பு கட்டுப்படவில்லை என்பதை Play தொடர்பான கண்டறிதல்கள் காட்டுகின்றன.

ப்ராக்ஸியில் சேர்க்கப்பட்டமை கண்டறியப்பட்டது; போக்குவரத்தை அனுப்புவது காணப்படவில்லை

மற்றொரு பேலோடான com.mobile.applock.en-இல் TCP ப்ராக்ஸி கூறு இருந்தது. பிறர் சார்பில் இணையப் போக்குவரத்தை அனுப்புவது ப்ராக்ஸியின் பணி. அந்த இணைப்பு சாதாரண போன் உரிமையாளருடையதாக இருக்கும்போது, போக்குவரத்தை வழிநடத்தும் தரப்புக்குப் பதிலாக உரிமையாளரின் இணைய முகவரியிலிருந்து வந்ததாக அது தோன்றலாம்.

இந்தக் கூறு சாதனங்களைத் தொலைநிலைச் சேவையகத்தில் பதிவு செய்ததுடன், குறிப்பிட்ட இலக்குகளுடன் இணைந்து போக்குவரத்தை அனுப்பும் வழிமுறைகளையும் பெறக்கூடியதாக இருந்தது. இத்தகைய திறன்கள் தொலைவிலிருந்து கட்டுப்படுத்தப்படும் சாதனங்களின் வலையமைப்பான போட்நெட்டை உருவாக்கவும், அந்த இணைப்புகளுக்கான அணுகலை விற்பதன் மூலம் கூடுதல் வருவாய் ஈட்டவும் உதவக்கூடும்.

Bitdefender-இன் சோதனைச் சாதனப் பதிவு கோரிக்கையை ப்ராக்ஸி கட்டமைப்பு ஏற்றுக்கொண்டதை நிறுவனம் உறுதிப்படுத்தியது. இருப்பினும், சோதனையின்போது அந்தச் சாதனத்துக்கு போக்குவரத்தை வழிமாற்றும் இலக்குகள் எதுவும் கிடைக்கவில்லை. எனவே, அந்தச் சோதனையில் சேர்க்கப்பட்டமை மற்றும் போக்குவரத்தை அனுப்பும் திறன் ஆகியவை நிரூபிக்கப்பட்டன; ஆனால் உண்மையில் போக்குவரத்து அனுப்பப்பட்டது நிரூபிக்கப்படவில்லை.

பல சாதனங்களிலிருந்து வரும் போக்குவரத்தால் இலக்கை முடக்கிவிடும் விநியோகிக்கப்பட்ட சேவை மறுப்பு (DDoS) தாக்குதல்களுக்கும் இதே எச்சரிக்கை பொருந்தும். போட்நெட்டில் பங்கேற்பதும் இத்தகைய தாக்குதல்களும் சாத்தியமான பயன்பாடுகளாக ஆய்வாளர்களால் விவரிக்கப்பட்டன. Midnight Mimosa பாதித்த போன்கள் குறிப்பிட்ட தாக்குதலை நடத்தியதாகவோ, அவற்றின் இணைப்புகளுக்கான அணுகலை வாங்கிய வாடிக்கையாளர்கள் யார் என்றோ இந்தக் கண்டறிதல்கள் நிறுவவில்லை.

கண்டறிதல்களில் எந்தச் சாதனங்களும் நாடுகளும் இடம்பெற்றன?

புவியியல் பரவலில் மெக்சிகோ, பிரான்ஸ், இத்தாலி ஆகியவை முன்னிலை வகித்தன; அடுத்ததாக அமெரிக்கா, ஜெர்மனி, பிரேசில் மற்றும் ஸ்பெயின் இடம்பெற்றன. சுமார் இரண்டு ஆண்டுகளில் ஆயிரக்கணக்கான தனித்துவமான சாதனங்கள் இந்த எண்ணிக்கைகளில் அடங்கின; ஆனால் தாக்குதலின் துல்லியமான மொத்த எண்ணிக்கை வழங்கப்படவில்லை. இவை கண்டறியப்பட்ட சாதனங்கள் மட்டுமே; விற்கப்பட்ட ஒவ்வொரு பாதிக்கப்பட்ட போனின் கணக்கெடுப்பு அல்ல.

சமரசம் செய்யப்பட்ட சாதனங்களில் 11%-க்கும் அதிகமானவை Cubot-உடன் தொடர்புடைய KINGKONG X என்ற மாடல் பெயரையும், 4%-க்கும் அதிகமானவை Doogee-உடன் தொடர்புடைய S200 X என்ற பெயரையும் தெரிவித்தன. இந்த இரு மாடல் குழுக்களும் சேர்ந்து கண்டறிதல்களில் 15%-க்கும் அதிகமான பங்கைக் கொண்டிருந்தன. விசாரணை குறித்த செய்திகளிலும் Cubot Kingkong 9 அடையாளம் காணப்பட்டது.

முன்னணி 15 போன் பிராண்டுகள் பாதிக்கப்பட்ட சாதனங்களில் 35.8%-ஐக் கொண்டிருந்தன. சுமார் 64% சாதனங்கள் “மற்றவை” எனக் குழுவாக்கப்பட்டன; இது தோராயமாக முழுமைப்படுத்தப்பட்ட எண்ணிக்கை எனத் தெரிவிக்கப்பட்டது. இந்தப் பரவல், அடையாளம் காணக்கூடிய ஒரே பிராண்டுக்குள் மட்டுப்படாமல், பாதிக்கப்பட்ட சந்தை சிதறலாக இருந்ததைக் காட்டுகிறது.

போலியான மாடல் பெயர்களில் i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra மற்றும் Note 18 Ultra ஆகியவை அடங்கின. iPadAirPro என்ற டேப்லெட் பெயரும் காணப்பட்டது. இந்தப் பெயர்களை குறைந்த விலை ஆண்ட்ராய்டு வன்பொருள் தெரிவித்தது; உண்மையான Apple அல்லது Samsung பொருட்களில் தீம்பொருள் இருந்ததற்கான சான்றாக அவற்றைக் கருதக்கூடாது.

மென்பொருளால் சாதனத்தின் அடையாளத்தைத் தவறாகக் காட்ட முடியும் என்பதால், மாடல் அடையாளங்கள் மட்டும் முழுமையான சான்றாகாது. குறிப்பிட்ட மாடல்களில் கண்டறியப்பட்டதும், அந்தப் பெயர்களில் விற்கப்படும் ஒவ்வொரு சாதனமும் பாதிக்கப்பட்டிருந்தது என்பதை நிறுவாது. தொழில்நுட்பக் கண்டறிதல்கள் பாதிக்கப்பட்ட சாதனங்களையும் ஃபார்ம்வேர் பதிப்புகளையும் பற்றியவை; எல்லா MediaTek பொருட்களையோ குறிப்பிடப்பட்ட பிராண்டுகளின் எல்லாப் போன்களையோ பற்றியவை அல்ல.

ஃபார்ம்வேர் சான்றிதழ்கள் பொறுப்பை நிறுவவில்லை

பாதிக்கப்பட்ட சில ஃபார்ம்வேர்கள் Shenzhen Zediel என்ற பெயரைக் கொண்ட சான்றிதழ்களால் கையொப்பமிடப்பட்டிருந்தன. தீங்கிழைக்கும் கூறு சாதனத்தால் நம்பப்பட்ட ஃபார்ம்வேருடன் தொடர்புடையது என்பதைக் காட்டுவதால், இந்தக் கையொப்பச் சான்றுகள் முக்கியமானவை. ஆனால், தீம்பொருளைச் சேர்த்தவர் யார் அல்லது சான்றிதழ் வைத்திருப்பவருக்கு அது இருப்பது தெரிந்திருந்ததா என்பதை அவை மட்டும் நிறுவாது.

தங்கள் விசாரணையால் பொறுப்பு குறித்து எதை உறுதிப்படுத்த முடியும் என்பதற்கு Gozob மற்றும் Baciu தெளிவான வரம்புகளை விதித்தனர்:

பாதிக்கப்பட்ட சாதனங்களில் உள்ள ஃபார்ம்வேரில் கையொப்பமிட Shenzhen Zediel என்ற பெயரைக் கொண்ட சான்றிதழ்கள் பயன்படுத்தப்பட்டன என்பதை மட்டுமே எங்களால் உறுதிப்படுத்த முடியும்.

அந்தப் பெயருக்குப் பின்னுள்ள நிறுவனத்தைப் பற்றிய செய்திகள், ஆண்ட்ராய்டு சாதன உற்பத்தியாளர் என்றும் மதர்போர்டு மேம்பாட்டாளருடன் தொடர்புடையதாகத் தெரிகிறது என்றும் வெவ்வேறாக விவரித்தன. அந்த விவரிப்புகள் பொறுப்பு யாருக்கு என்பதைத் தீர்மானிக்கவில்லை. Zediel பெயருள்ள ஃபார்ம்வேர் சான்றிதழ்கள் இல்லாத பாதிக்கப்பட்ட போன்களையும் Bitdefender கண்டறிந்தது. எனவே, அந்தக் கையொப்ப அடையாளம் முழுமையான விளக்கமும் அல்ல; எல்லா நிகழ்வுகளிலும் பொருந்தும் குறியீடும் அல்ல.

அசல் வடிவமைப்பு உற்பத்தியாளர், ஃபார்ம்வேர் ஒருங்கிணைப்பாளர், போக்குவரத்துப் பங்குதாரர் அல்லது விநியோகத்தில் ஈடுபட்ட மற்றொரு தரப்பு ஆகியோரிடம் தீம்பொருள் சேர்க்கப்பட்டிருக்கலாம். அறிக்கை அவற்றில் ஒன்றைத் தேர்ந்தெடுக்கவில்லை. பாதிக்கப்பட்ட போன்கள் விற்கப்படுவதற்கு முன்பே ஃபார்ம்வேரில் தீம்பொருள் இடம்பெற்றிருந்தது என்பதே உறுதிப்படுத்தப்பட்ட கண்டறிதல்.

செயலிகளை நீக்குவது மட்டும் ஏன் போதாது என்பதை உரிமையாளர்களின் புகார்கள் காட்டுகின்றன

சந்தேகத்துக்குரிய செயலிகளை நீக்கிய பிறகும் அவை மீண்டும் நிறுவப்பட்டதாக Cubot மற்றும் Doogee போன் உரிமையாளர்கள் தெரிவித்தனர். Doogee Fire 3 Max உரிமையாளர் ஒருவர், அதிகாரப்பூர்வ ஃபார்ம்வேர் புதுப்பிப்பு தொற்றை அறிமுகப்படுத்தியதாகவும், பழைய ஃபார்ம்வேருக்குத் திரும்பியபோது அது அகன்றதாகவும், புதுப்பிப்பை மீண்டும் நிறுவியதும் திரும்ப வந்ததாகவும் கூறினார். இவை பயனர்களின் வாக்குமூலங்கள்; பாதிக்கப்பட்ட ஒவ்வொரு ஃபார்ம்வேர் வெளியீட்டின் வரலாறும் சுயாதீனமாக உறுதிப்படுத்தப்பட்டது என்று பொருளல்ல.

பின்னர் உற்பத்தியாளர்கள் வெளியிட்ட புதுப்பிப்புகள் தங்கள் தொற்றைச் சரிசெய்ததாகச் சில உரிமையாளர்கள் தெரிவித்தனர். பாதிக்கப்பட்ட ஃபார்ம்வேருக்குள் தீங்கிழைக்கும் குறியீடு எவ்வாறு வந்தது என்பதை உற்பத்தியாளர்கள் பொதுவெளியில் விளக்கவில்லை. பதிவிறக்கிய செயலியை நீக்கினால் பிரச்சினை முடிந்துவிடும் என்று கருதாமல், விசாரணையிலும் சரிசெய்தலிலும் ஃபார்ம்வேர் பதிப்புகளை இன்றியமையாத பகுதியாகக் கருத வேண்டும் என்பதையே இந்தத் தகவல்கள் வலியுறுத்துகின்றன.

விசாரணையிலும் அதைத் தொடர்ந்து வெளியான செய்திகளிலும் உறுதிப்படுத்தப்பட்ட முக்கிய நிகழ்வுகளின் வரிசை:

• சுமார் இரண்டு ஆண்டுகளில் 150-க்கும் மேற்பட்ட நாடுகளில் ஆயிரக்கணக்கான பாதிக்கப்பட்ட சாதனங்களை Bitdefender கவனித்தது.
• 2026 அக்டோபர் 8 அன்று, Bitdefender தனது Midnight Mimosa விசாரணையை வெளியிட்டது.
• 2026 அக்டோபர் 9 அன்று, தொழில்நுட்ப அறிக்கை புதுப்பிக்கப்பட்டது.
• அக்டோபர் 12 அன்று வெளியான செய்திகளின்படி, தொடர்புடைய Google Play செயலிகள் மற்றும் பாதிக்கப்பட்ட ஃபார்ம்வேருக்கான பொறுப்பு ஆகியவை தீர்க்கப்படாத கவலைகளாக இருந்தன.

ஃபார்ம்வேரைச் சரிசெய்வதன் மூலமாகவோ, பொதுவாக ADB எனப்படும் Android Debug Bridge மூலம் தீங்கிழைக்கும் கூறை முடக்குவதன் மூலமாகவோ சுத்திகரிக்க வேண்டும் என Bitdefender கூறுகிறது. பிழைத்திருத்தம் மற்றும் நிர்வாகப் பணிகளுக்காக கணினி, ஆண்ட்ராய்டு சாதனத்துடன் தொடர்புகொள்ள உதவும் கருவியே ADB. ஒரு கூறை முடக்குவது என்பது சமரசம் செய்யப்பட்ட ஃபார்ம்வேரைச் சரிபார்க்கப்பட்ட சுத்தமான பதிப்பால் மாற்றுவதற்குச் சமமல்ல.

அனைவருக்கும் பொருந்தும் சுத்திகரிப்புக் கட்டளை அல்லது சுத்தமானது என உறுதிப்படுத்தப்பட்ட ஃபார்ம்வேர் பட்டியல் எதுவும் நிறுவப்படவில்லை. அதிகாரப்பூர்வம் எனக் குறிப்பிடப்படும் புதுப்பிப்பு பாதுகாப்பானது என்று ஊகிப்பதற்குப் பதிலாக, உரிமையாளர்கள் விற்பனையாளர் அல்லது உற்பத்தியாளரிடம் சரிபார்க்கப்பட்ட தீர்வையோ மாற்றுச் சாதனத்தையோ கோர வேண்டும். பாதிக்கப்பட்டது எனத் தெரிந்த சாதனத்தின் நிலை தீர்க்கப்படும் வரை, வங்கிச் சேவைகளைப் பயன்படுத்துவதையும், முக்கியக் கணக்குகளுக்கான அடையாளச் சரிபார்ப்பையும், முக்கியத் தகவல்களைச் சேமிப்பதையும் தவிர்ப்பது முன்னெச்சரிக்கையாகும்.

ஆய்வாளர்கள் பயன்படுத்தப்படுவதைக் காணாத முக்கிய அணுகல் அனுமதிகளும் கவலைக்குரியவை. அணுகல்தன்மை மற்றும் அறிவிப்புகளுக்கான அணுகல் அனுமதிகள் மீண்டும் மீண்டும் வழங்கப்பட்டும் திரும்பப் பெறப்பட்டும் வந்தன; SMS அனுமதிகளும் இருந்தன. தொலைவிலிருந்து வழங்கப்பட்ட குறியீடு அவற்றைச் செயல்படுத்தியிருந்தால், திரை உள்ளடக்கம், அறிவிப்புகள் அல்லது சரிபார்ப்புச் செய்திகள் வெளிப்பட்டிருக்கக்கூடும். இது நிரூபிக்கப்பட்ட அபாயம்; ஆய்வின்போது Midnight Mimosa அந்தத் தகவல்களைத் திருடியது என்பதற்கான சான்று அல்ல.

முக்கிய அம்சங்கள்

• பாதிக்கப்பட்ட சாதனங்கள் வாங்குபவர்களிடம் சேருவதற்கு முன்பே, ஆண்ட்ராய்டு ஃபார்ம்வேருக்குள் Midnight Mimosa இடம்பெற்றிருந்தது.
• சுமார் இரண்டு ஆண்டுகளில் 150-க்கும் மேற்பட்ட நாடுகளில் ஆயிரக்கணக்கான பாதிக்கப்பட்ட சாதனங்களை Bitdefender கவனித்தது.
• இந்த நடவடிக்கை வேடமிட்ட குறைந்தது 32 பேலோட் செயலிகளைப் பயன்படுத்தியது; Google Play செயலிகள் 13 அதே விளம்பர மோசடிக் குறியீட்டையும் கட்டமைப்பையும் பகிர்ந்துகொண்டன.
• அமைப்பு நிலை அனுமதிகள், அமைதியான நிறுவல்கள், அனுமதி வழங்குதல் மற்றும் தொலைநிலைக் குறியீடு ஏற்றம் ஆகியவற்றைச் சாத்தியமாக்கின.
• ப்ராக்ஸியில் சாதனம் சேர்க்கப்பட்டது உறுதிப்படுத்தப்பட்டது; ஆனால் சோதனைச் சாதனத்தில் உண்மையான போக்குவரத்து அனுப்பப்படுவது காணப்படவில்லை.
• ஃபார்ம்வேர் கையொப்பச் சான்றிதழ்கள், தீம்பொருளைச் சேர்த்தவர் யார் அல்லது சான்றிதழ் வைத்திருப்பவர்கள் அதில் ஈடுபட்டார்களா என்பதை நிறுவவில்லை.
• மறைமுகச் செயலிகளை மட்டும் நீக்குவது தொடர்ந்து செயல்படும் கூறைச் சரிசெய்யாது. அந்தக் கூறை முடக்கவோ, ஃபார்ம்வேரைச் சரிசெய்யவோ வேண்டும்.