據(jù)安全廠商卡巴斯基披露，其在追蹤此前被發(fā)現(xiàn)會(huì)預(yù)裝在低價(jià)Android設(shè)備中的木馬 Triada 時(shí)，進(jìn)一步發(fā)現(xiàn)一種名為“Keenadu”的固件級(jí)后門，已在全球范圍內(nèi)感染大量設(shè)備，并被設(shè)計(jì)為在用戶不知情的情況下深入Android系統(tǒng)底層運(yùn)行。

卡巴斯基稱，Keenadu 出現(xiàn)在多家（多數(shù)未公開點(diǎn)名的）品牌Android平板的固件中，其植入方式與 Triada 類似：在固件二進(jìn)制構(gòu)建階段，將惡意靜態(tài)庫悄然與系統(tǒng)庫 libandroid_runtime.so 鏈接，從而在設(shè)備出廠前就完成“預(yù)埋” 。設(shè)備啟動(dòng)后，惡意庫會(huì)注入到 Zygote 進(jìn)程；由于 Zygote 是Android系統(tǒng)中孵化后續(xù)系統(tǒng)與應(yīng)用進(jìn)程的關(guān)鍵“根”進(jìn)程，后門由此可隨用戶或系統(tǒng)啟動(dòng)的各類應(yīng)用一并運(yùn)行，實(shí)現(xiàn)更深層、更廣泛的駐留 。

該后門采用多階段架構(gòu)，操作者可對(duì)被感染設(shè)備進(jìn)行遠(yuǎn)程“幾乎不受限制”的控制，并可下發(fā)不同惡意載荷執(zhí)行多類任務(wù) 。在已觀察到的能力中，載荷可針對(duì)瀏覽器搜索引擎進(jìn)行篡改，借由推動(dòng)新應(yīng)用安裝實(shí)現(xiàn)變現(xiàn)，進(jìn)行更隱蔽的廣告交互等，同時(shí)研究人員還發(fā)現(xiàn)其蹤跡曾出現(xiàn)在通過 Google Play、小米 GetApps 以及第三方應(yīng)用倉庫分發(fā)的應(yīng)用中 。

就來源而言，卡巴斯基表示暫無法確定最初投放點(diǎn)，更可能的情況是攻擊者在多款A(yù)ndroid平板的供應(yīng)鏈關(guān)鍵階段實(shí)施入侵，使惡意庫在產(chǎn)品到達(dá)市場(chǎng)前就被寫入固件 。調(diào)查還將線索追溯至平板廠商 Alldocube：該廠商會(huì)公開發(fā)布固件歸檔文件以便安全審查，而卡巴斯基正是借助這些信息進(jìn)一步進(jìn)行關(guān)聯(lián)分析 。

根據(jù)卡巴斯基遙測(cè)數(shù)據(jù)，全球共有 13715 名用戶受到 Keenadu 及其某個(gè)惡意模塊影響，感染較集中的國家包括俄羅斯、日本、德國、巴西和荷蘭 。目前卡巴斯基已向相關(guān)廠商發(fā)出預(yù)警，并建議用戶在廠商推送補(bǔ)丁后盡快安裝Android安全更新；事件也再次凸顯攻擊者正更頻繁地利用Android核心架構(gòu)與安全機(jī)制的復(fù)雜性，將惡意能力前移至更難發(fā)現(xiàn)和清除的系統(tǒng)層級(jí) 。