Telefoane Android infectate înainte de vânzare: un virus ajunge direct în software

Când te gândești la viruși pe telefon, probabil îți vine în minte un APK dubios descărcat dintr-un colț al internetului sau o aplicație „gratuită” care cere prea multe permisiuni. Dar cel mai neplăcut scenariu este altul: să cumperi un telefon nou, aparent curat, și să descoperi că problemele au fost „plantate” din fabrică, direct în firmware. Exact asta descriu cercetătorii care au identificat un nou malware Android, numit Keenadu, integrat în firmware-ul unor dispozitive de la mai mulți producători.

Diferența majoră față de un malware clasic este nivelul la care se ascunde, scrie presa străină. Dacă un troian obișnuit trăiește într-o aplicație și poate fi scos prin dezinstalare, un malware la nivel de firmware poate rămâne lipit de sistem, supraviețuiește resetărilor și se poate „turna” în fiecare aplicație care rulează. Cu alte cuvinte, nu mai e doar o aplicație infectată, ci fundația pe care rulează tot telefonul.

De ce Keenadu e periculos: firmware, procesul Zygote și „infecția” fiecărei aplicații

Keenadu a fost observat ca parte a unei campanii de tip supply chain attack, adică un atac în lanțul de aprovizionare. În loc să țintească direct utilizatorul final, atacatorii compromit o etapă din procesul prin care firmware-ul este construit, semnat sau pregătit pentru distribuție. Rezultatul: o componentă malițioasă ajunge inclusă în cod ca o „dependință” aparent legitimă. Producătorii pot să nu își dea seama că dispozitivele sunt compromise înainte să ajungă pe piață, mai ales dacă vorbim despre branduri mici sau modele entry-level, unde auditul de securitate nu e la fel de strict ca la giganți.

Ce îl face cu adevărat sinistru este felul în care malware-ul profită de procesul Zygote din Android. Pe scurt, Zygote este procesul „mamă” care stă la baza pornirii aplicațiilor: din el se creează instanțe pentru aproape orice rulează pe telefon. Dacă un fișier infectat este folosit de Zygote, componenta malițioasă ajunge să fie copiată automat în fiecare aplicație care se lansează pe dispozitiv. Asta înseamnă că nu contează dacă folosești o aplicație de banking, un messenger sau o aplicație de shopping: toate pot fi „atinse” de același strat invizibil.

Vezi și:

O plantă ignorată ani la rând de fermieri se vinde acum cu până la 1.000 de euro kilogramul. Tot mai multe restaurante o caută

Mai mult, cercetătorii spun că Keenadu poate ajunge la utilizatori în două moduri: fie preinstalat pe dispozitiv încă de la cumpărare, fie livrat ulterior prin update-uri OTA (over-the-air) care par legitime. A doua variantă e și mai perfidă, pentru că te bazezi pe ideea că update-ul de securitate te protejează, nu că îți strecoară o problemă în plus.

Ce face malware-ul în practică: căutări deturnate, fraudă publicitară și manipulări pe site-uri de shopping

Keenadu funcționează ca un „loader” în mai multe etape: nu vine cu toate funcțiile în același pachet, ci descarcă module (payloads) pe parcurs, în funcție de scopul operatorilor. În forma observată, scopul dominant ar fi frauda publicitară — adică folosirea telefonului tău ca să genereze clickuri sau instalări „pe șest”, astfel încât atacatorii să încaseze bani din reclame fără să știi ce se întâmplă.

Una dintre componentele descrise vizează deturnarea căutărilor din browser: practic, îți modifică rezultatele sau traseul către anumite pagini, astfel încât traficul să fie monetizat. Un alt modul poate monitoriza interogările tastate în Google Chrome, ceea ce ridică imediat semne de întrebare legate de confidențialitate: dacă cineva vede ce cauți, poate deduce interese, obiceiuri, intenții de cumpărare sau chiar date sensibile pe care le tastezi din reflex.

Vezi și:

Malware pe Android în 2026: cum ajunge din reclame, PDF-uri și aplicații „utilitare”

Cum funcționează securitatea pe Mac – modul inteligent în care Apple îți protejează datele, comunicațiile și sistemul de operare. De ce s-ar putea să nu ai nevoie de antivirus în MacOS

Cea mai „concretă” zonă este legată de platforme mari de shopping: cercetătorii au observat module care pot adăuga produse în coș sau pot manipula acțiuni pe site-uri cunoscute, fără ca tu să inițiezi explicit acele acțiuni. Chiar dacă, în momentul de față, operatorii ar folosi Keenadu „doar” pentru fraudă publicitară, avertismentul important este că aceleași capabilități pot fi pivotate spre control remote mai agresiv. Când ai o ușă deschisă la nivel de sistem, trecerea de la „clickuri ascunse” la „preluare completă” poate fi o decizie de monetizare, nu o limitare tehnică.

Un alt detaliu care ar trebui să te pună pe gânduri este vectorul de distribuție: pe lângă firmware, Keenadu ar putea fi ascuns și în aplicații de sistem (inclusiv servicii de recunoaștere facială sau launcher-e), dar și în versiuni modificate ale unor aplicații populare, inclusiv prin store-uri oficiale. Cu cât un malware reușește să îmbrace haine „legitime”, cu atât șansele să treacă neobservat cresc.

Cine e afectat și ce faci dacă ai suspiciuni: pași practici, fără panică

Cercetătorii au raportat aproximativ 13.000 de dispozitive infectate până în februarie, cu cele mai multe cazuri în Rusia, urmate de Japonia, Germania, Brazilia și Olanda. Chiar dacă România nu apare în topul inițial, ideea de bază rămâne valabilă oriunde: când vorbim despre un atac în lanțul de aprovizionare, distribuția geografică se poate schimba rapid, iar modelele afectate pot apărea și pe alte piețe prin importatori, resigilări sau canale paralele.

Primul lucru pe care îl faci este să-ți schimbi „modelul mental”: nu te baza exclusiv pe faptul că ai instalat un antivirus sau că nu descarci aplicații dubioase. În scenariul firmware, problema poate fi sub tine, nu deasupra ta. Dacă ai semne ciudate — reclame care apar inexplicabil, redirecționări în browser, baterie consumată fără motiv, trafic de date suspect — tratează-le ca pe un semnal, nu ca pe o „întâmplare”. Uită-te în setări la consumul de date pe aplicații, verifică aplicații de sistem recent actualizate și fii atent la lucruri care rulează în fundal fără motiv clar.

Dacă suspectezi că ai prins varianta „preîncărcată” în firmware, soluțiile sunt mai dure: în unele cazuri, singurul remediu real este înlocuirea completă a firmware-ului cu o versiune curată (reflash), ceea ce nu e mereu simplu pentru utilizatorul obișnuit. Până rezolvi, cea mai sănătoasă decizie este să nu folosești dispozitivul pentru activități sensibile: nu banking, nu parole importante, nu autentificări critice. Dacă malware-ul e în schimb într-o aplicație de sistem, caută o variantă curată sau dezactivează aplicația infectată, dacă asta e posibil fără să strici funcționarea telefonului. Iar dacă bănuiești că a venit dintr-un store terț sau dintr-o aplicație instalată separat, dezinstalarea acelei aplicații poate fi suficientă pentru mitigare.

În final, Keenadu e încă o dovadă că securitatea pe mobil nu mai înseamnă doar „nu instala prostii”. Înseamnă și să fii atent la ce cumperi, de unde cumperi și ce update-uri primești. Dacă vrei să reduci riscul pe termen lung, mizează pe producători care au istoric bun de update-uri, cumpără din canale oficiale și tratează cu suspiciune „ofertele prea bune” pe modele obscure. Când atacul pornește din fabrică, prevenția începe înainte să pornești telefonul.

De la 1 iulie 2026, mii de șoferi vor fi obligați să monteze acest dispozitiv. Amenzile ajung la 12.000 de lei