অ্যান্ড্রয়েড ফোনের ফার্মওয়্যারের সঙ্গেই আসছে Midnight Mimosa ম্যালওয়্যার, ছড়িয়েছে ১৫০টিরও বেশি দেশে

প্রথমবার চালুর আগেই ফোনে সংক্রমণ

১৫০টিরও বেশি দেশের হাজার হাজার অ্যান্ড্রয়েড ডিভাইস Midnight Mimosa ম্যালওয়্যার অভিযানে আক্রান্ত হয়েছে। এই অভিযানে ক্রেতারা ফোন চালু করার আগেই ফোনের ফার্মওয়্যারের ভেতরে ক্ষতিকর সফটওয়্যার ঢুকিয়ে দেওয়া হয়। Bitdefender অভিযানে ছড়ানো অন্তত ৩২টি ছদ্মবেশী অ্যাপ শনাক্ত করেছে। পাশাপাশি, একই বিজ্ঞাপন জালিয়াতির কোড থাকা এবং এর নিয়ন্ত্রণ অবকাঠামোর সঙ্গে যোগাযোগ করা গুগল প্লে-তে থাকা ১৩টি অ্যাপও শনাক্ত করেছে।

৮ অক্টোবর ২০২৬-এ প্রকাশিত এবং ৯ অক্টোবর হালনাগাদ করা অনুসন্ধানী প্রতিবেদনে প্রায় দুই বছর ধরে চলা এই অভিযানের বিবরণ দেওয়া হয়েছে। আক্রান্ত ডিভাইসের মধ্যে রয়েছে MediaTek প্ল্যাটফর্ম ব্যবহার করা কমদামি ফোন, Apple ও Samsung-এর মডেলের নাম ধার করা নকল পণ্য এবং Doogee S200 X ও Cubot KINGKONG X পরিচয়ে চলা ডিভাইস।

Bitdefender-এর প্রযুক্তিগত প্রতিবেদনের মূল অনুসন্ধান হলো, সংক্রমণের জন্য ক্রেতাকে সন্দেহজনক অ্যাপ ডাউনলোড করতে হয় না। ডিভাইসের সঙ্গেই একটি ক্ষতিকর সিস্টেম উপাদান আসে, যা অপারেটিং সিস্টেমের শক্তিশালী অনুমতি পায় এবং মালিককে না জানিয়েই অতিরিক্ত সফটওয়্যার ইনস্টল করতে পারে।

এ কারণে হুমকিটি দূর করা অস্বাভাবিক রকম কঠিন। অবাঞ্ছিত আবহাওয়ার অ্যাপ বা অ্যাপ লকার মুছে ফেললে অভিযানের দৃশ্যমান একটি অংশ চলে যেতে পারে, কিন্তু সেটি ইনস্টল করা উপাদানটি অক্ষত থেকে যেতে পারে। গবেষকেরা একই ডিভাইসে বারবার পেলোডের আবির্ভাব ও উধাও হওয়ার ঘটনা দেখেছেন।

তদন্তে কী প্রতিষ্ঠিত হয়েছে, তারও সীমা রয়েছে। ফার্মওয়্যারে ম্যালওয়্যারটি কে ঢুকিয়েছে, তা শনাক্ত করা যায়নি। সংক্রমিত ফোনের মাধ্যমে ট্রাফিক অন্যত্র পাঠানোর সক্ষমতাসম্পন্ন কোড গবেষকেরা পেয়েছেন, তবে তাঁদের পরীক্ষামূলক ডিভাইস কোনো ট্রাফিক পাঠানোর নির্দেশ পায়নি। পরিচালনাকারীদের হাতে সংবেদনশীল অনুমতি ছিল, যদিও বিশ্লেষণের সময় সেগুলোর ব্যবহার গবেষকেরা দেখেননি।

ইনস্টলেশন নিয়ন্ত্রণকারী গোপন উপাদান

Bitdefender-এর আচরণ শনাক্তকরণ প্রযুক্তি com.android.system.lite-কে চিহ্নিত করার পর তদন্ত শুরু হয়। এর নাম ও সাধারণ ‘System’ লেবেল দেখে স্বাভাবিক অ্যান্ড্রয়েড উপাদান মনে হলেও এর কাজ ছিল ভিন্ন: এটি নীরবে সম্পর্কহীন অ্যাপ ইনস্টল ও মুছে ফেলত এবং বারবার সংবেদনশীল অ্যাক্সেস চালু করত।

উপাদানটির দৃশ্যমান কোনো লঞ্চার আইকন ছিল না। এটি অ্যান্ড্রয়েড প্ল্যাটফর্মের জন্য স্বাক্ষরিত, সিস্টেম ব্যবহারকারী হিসেবে চলত এবং স্থায়ীভাবে সক্রিয় থাকার মতো করে কনফিগার করা ছিল। এর অনুমতির মধ্যে ছিল প্যাকেজ ইনস্টল ও মুছে ফেলা, অন্য অ্যাপকে অনুমতি দেওয়া এবং সুরক্ষিত সেটিংস পরিবর্তন করা। ফোনের মালিকের ডাউনলোড করা অ্যাপ সাধারণত যতটা ক্ষমতা পায়, এগুলো তার চেয়ে অনেক বেশি।

পরে গবেষকেরা একই ক্ষতিকর মূল উপাদান অন্য নামেও পান, যেমন com.android.sys.prot, com.android.sys.gmsprot এবং com.android.sys.bcprot। ফোনমালিকদের জানানো আরেকটি প্যাকেজ com.android.non.szcz-কে একই পরিবারের অংশ হিসেবে শনাক্ত করা হয়। বিভিন্ন বিল্ডে ভিন্ন নাম এবং কিছু ক্ষেত্রে ভিন্ন স্বাক্ষর সনদ ব্যবহার করা হয়েছিল।

শনাক্তকরণ ও পরিষ্কারের জন্য এই বিষয়টি গুরুত্বপূর্ণ: একটি প্যাকেজের নাম দিয়ে পুরো হুমকিকে চিহ্নিত করা যায় না। কোনো ফোনে com.android.system.lite না থাকলেও একই ব্যবস্থা থাকা অন্য সংস্করণ থাকতে পারে। অ্যান্ড্রয়েডের অ্যাপ তালিকায় দেখানো নামের চেয়ে অভিন্ন আচরণ ও অন্তর্নিহিত কোডই বেশি কার্যকর শনাক্তকারী।

দূর থেকে পাঠানো কোড যেভাবে ফোনের কাজ বদলায়

ক্ষতিকর যুক্তির বড় অংশ সিস্টেম অ্যাপের সাধারণ কোডে দৃশ্যমান না রেখে libeasy.so নামের একটি নেটিভ লাইব্রেরিতে লুকানো ছিল। চালু হওয়ার সময় লাইব্রেরিটি RC4 এনক্রিপশন ব্যবহার করে প্রায় ১৪২ কিলোবাইটের একটি এমবেড করা ফ্রেমওয়ার্ক আড়াল করত, পরে সেটি পুনরুদ্ধার করত।

ফ্রেমওয়ার্কটি কমান্ড অ্যান্ড কন্ট্রোল সার্ভার থেকে কনফিগারেশন আনত। এই সার্ভার হলো এমন একটি দূরবর্তী সেবা, যার মাধ্যমে পরিচালনাকারীরা সংক্রমিত ডিভাইসকে নির্দেশ দেয়। এটি DEX ও JAR ফাইল ডাউনলোড করে চালাতে পারত। এসব ফরম্যাটে অ্যান্ড্রয়েড ও জাভার এক্সিকিউটেবল কোড প্যাকেজ করা হয়। ফলে ফোন বিক্রির পরও পরিচালনাকারীরা ডিভাইসটির আচরণ বদলাতে পারত।

গবেষকেরা তিনটি প্লাগইন পরিবার শনাক্ত করেছেন। com.wz.sdk.DxFactory-র সঙ্গে যুক্ত একটি প্লাগইন ভুয়া বিজ্ঞাপন প্রদর্শন ও ক্লিক পরিচালনা করত। অন্য দুটি, com.earnsdk.lib.DxFactory এবং com.gogo.third.lib.DxFactory-র সঙ্গে যুক্ত, অন্য অ্যাপ নীরবে ইনস্টল ও মুছে ফেলতে সহায়তা করত। শেষেরটিতে WebView সুবিধাও ছিল।

তাই সিস্টেম উপাদানটি ছিল স্থায়ী নিয়ন্ত্রক, একবার ব্যবহারযোগ্য নির্দিষ্ট বিজ্ঞাপন ম্যালওয়্যার নয়। আজকের পেলোড মুছে ফেললেও আগামীকাল আরেকটি আনা ঠেকানো যেত না। দূর থেকে কোড লোড করার সঙ্গে বিশেষাধিকারপ্রাপ্ত অনুমতি দেওয়ার ক্ষমতা থাকায়, তদন্তে ধরা পড়া আচরণের বাইরেও এর সম্ভাব্য কর্মকাণ্ড বিস্তৃত ছিল।

সাধারণ অ্যাপের ছদ্মবেশে ভুয়া ক্লিক থেকে আয়

অভিযানের প্রধান উদ্দেশ্য ছিল অর্থ উপার্জন বলে মনে হয়। গবেষকেরা আবহাওয়ার অ্যাপ, অ্যাপ লকার, ফাইল ম্যানেজার, আইকন টুল, টেক্সট শনাক্তকরণ টুল ও অডিও এডিটরের ছদ্মবেশে থাকা অন্তত ৩২টি স্বতন্ত্র পেলোড অ্যাপ পান। কিছু অ্যাপ নির্দিষ্ট কাজ করত, আর কিছু নাম দেখে যে কাজ করার কথা মনে হয়, তা কার্যত করতই না।

একটি উদাহরণ com.mobile.applock.wt। এটি অ্যাপ লক করার টুল হিসেবে নিজেকে উপস্থাপন করলেও সেই কাজের জন্য প্রয়োজনীয় ইন্টারফেস ও কোড ছিল না। অ্যাপটি ব্যবহারকারীর কাছ থেকে লুকানো থাকত এবং অন্য ক্ষতিকর সফটওয়্যার সরবরাহকারী আরেকটি ম্যালওয়্যার ড্রপার হিসেবে কাজ করত। শনাক্ত হওয়া অন্যান্য পেলোডের মধ্যে ছিল com.dmstudio.weather, com.dl.guard.lock এবং picturetranslate.extractor.text.lite।

ছদ্মবেশী অ্যাপগুলোতে বৈধ বিজ্ঞাপন সফটওয়্যার ডেভেলপমেন্ট কিট বা SDK ছিল। এগুলো এমন টুল, যা অ্যাপকে বিজ্ঞাপন দেখাতে এবং বিজ্ঞাপনসংক্রান্ত কার্যকলাপের জন্য অর্থ পেতে সহায়তা করে। এগুলো থাকায় জাল ট্রাফিকের সঙ্গে এমন একটি অ্যাপ ও বিজ্ঞাপন শনাক্তকারী যুক্ত করা সম্ভব হয়েছিল, যার নামে আয় জমা হতে পারত।

Bitdefender-এর নিরাপত্তা গবেষক আদ্রিয়ান মিহাই গোজব ও অ্যালেক্স বাচিউ স্থায়ী সিস্টেম উপাদান এবং ছদ্মবেশী অ্যাপগুলোর মধ্যে কাজের ভাগ এভাবে ব্যাখ্যা করেছেন:

সিস্টেম অ্যাপটি নিজে জাল বিজ্ঞাপন প্রদর্শন ও ক্লিক নিবন্ধন করে না।

নিয়ন্ত্রকটি নির্দেশনা ও সময় নির্ধারণ করত এবং কৃত্রিম ইন্টারঅ্যাকশন ঘটাত; বিজ্ঞাপনের শনাক্তকারীগুলো থাকত ছদ্মবেশী অ্যাপের। অ্যাপগুলো যৌথ সেবার মাধ্যমে যোগাযোগ করত এবং একই ডিভাইস শনাক্তকারী এমন অবকাঠামোতে পাঠাত, যার মধ্যে আবহাওয়া API-এর ছদ্মবেশে থাকা নিয়ন্ত্রণ সেবাও ছিল। এতে দেখতে আলাদা ইউটিলিটিগুলো একটি সমন্বিত বিজ্ঞাপন অভিযানের অংশ হয়ে ওঠে।

প্রযুক্তিগত বিশ্লেষণে ব্যবহারকারীর স্পর্শ ছাড়াই স্বয়ংক্রিয় ক্লিক, এলোমেলো বিজ্ঞাপন লক্ষ্য, দৈনিক সীমা এবং কৃত্রিম ইন্টারঅ্যাকশনের মধ্যবর্তী বিরতি শনাক্ত করা হয়। ৬০ সেকেন্ডের টাইমার শেষে স্বয়ংক্রিয়ভাবে কনভারশন রিপোর্ট পাঠানোর ব্যবস্থাও পাওয়া যায়। এসব নিয়ন্ত্রণের ফলে একই ধরনের ঘটনা একটানা না ঘটিয়ে ভুয়া কার্যকলাপের গতি নিয়ন্ত্রণ করা সম্ভব ছিল।

গুগল প্লে এড়ানোর লক্ষ্য, আবার বিতরণের পথও

পেলোড চালানোর আগে ম্যালওয়্যারটি সাময়িকভাবে com.android.vending, অর্থাৎ গুগল প্লে স্টোর অ্যাপ, নিষ্ক্রিয় করত। পরে অ্যাপটি আবার চালু করত এবং ব্যবহারকারী উপস্থিত থাকলে সেটি ফিরিয়ে আনার ব্যবস্থাও ছিল। Bitdefender-এর ধারণা, এটি সম্ভবত Play Protect-এর শনাক্তকরণ এড়ানোর চেষ্টা ছিল; তবে এর অর্থ এই নয় যে প্রতিটি ইনস্টলেশনই স্ক্যান এড়িয়ে গেছে।

কিছু সংস্করণ অ্যান্ড্রয়েডের ইনস্টলার রেকর্ডও বদলে দিত, যাতে ম্যালওয়্যার ইনস্টল করা সফটওয়্যারকে গুগল প্লে থেকে এসেছে বলে মনে হয়। এতে অ্যাপটি কোথা থেকে এসেছে, তা পরীক্ষা করার সময় মালিকের কাছে অপরিচিত অ্যাপটিকে কম সন্দেহজনক মনে হতে পারত।

বিজ্ঞাপনের ব্যবস্থায় ব্যবহারকারীর অনুরোধ ছাড়াই খোলা কার্যকলাপ এবং অন্য অ্যাপের ওপর বসানো ওভারলে অন্তর্ভুক্ত ছিল। একটি বিজ্ঞাপন সারফেসকে নিরাপদ হিসেবে চিহ্নিত করা হয়েছিল, ফলে সেটি স্ক্রিনশট বা স্ক্রিন রেকর্ডিংয়ে দেখা যেত না। প্রতিবেদনে লুকানো বিজ্ঞাপন কার্যকলাপের পাশাপাশি বিরক্তিকর বিজ্ঞাপন প্রদর্শনের কথাও আছে; তাই অভিযানটিকে পুরোপুরি অদৃশ্য বলে ধরে নেওয়া উচিত নয়।

গুগল প্লে আলাদা বিতরণ মাধ্যম হিসেবেও ব্যবহৃত হয়েছিল। গবেষকেরা একই বিজ্ঞাপন জালিয়াতির কোড থাকা এবং Midnight Mimosa-র অবকাঠামোর সঙ্গে যোগাযোগ করা ১৩টি প্রকাশিত অ্যাপ শনাক্ত করেছেন। সেগুলোতে ১৩টি পৃথক স্বাক্ষর সনদ এবং অন্তত দুটি ডেভেলপার অ্যাকাউন্ট ব্যবহার করা হয়েছিল। অ্যাকাউন্ট দুটির নাম fivedev ও CPS Developer।

স্টোরে থাকা এসব অ্যাপের সেই বাড়তি অনুমতি ছিল না, যা আগে থেকেই ইনস্টল করা সিস্টেম উপাদানগুলো পেয়েছিল। এই পার্থক্য গুরুত্বপূর্ণ: কোনো অ্যাপ ডাউনলোড করলেই সেটি সংক্রমিত ফার্মওয়্যার উপাদানের মতো নীরবে ইনস্টল করার ক্ষমতা পেত না। তবে মালিক ফোন ব্যবহার না করলেও অ্যাপগুলো নিজস্ব ইন্টারফেসের বাইরে বিজ্ঞাপন দেখাতে পারত।

অনুসন্ধানের প্রতিবেদন প্রকাশিত হওয়ার সময় সংশ্লিষ্ট অন্তত কিছু অ্যাপ স্টোরে ছিল বলে জানানো হয়েছিল, আর মন্তব্য চেয়ে পাঠানো অনুরোধে গুগল তাৎক্ষণিকভাবে সাড়া দেয়নি। অ্যাপগুলো কখন সরানো হবে, সে বিষয়ে কোনো নিশ্চিত সময়সূচি এখানে প্রতিষ্ঠিত হয়নি। গুগল প্লে-সংক্রান্ত অনুসন্ধান দেখায়, ঝুঁকি শুধু নকল হার্ডওয়্যার বা উৎপাদনের সময় সংক্রমিত ফোনে সীমাবদ্ধ ছিল না।

প্রক্সিতে যুক্ত হওয়া দেখা গেছে, ট্রাফিক পাঠানো নয়

com.mobile.applock.en নামের আরেকটি পেলোডে TCP প্রক্সি উপাদান ছিল। প্রক্সি অন্য কারও হয়ে ইন্টারনেট ট্রাফিক পাঠায়। সংযোগটি কোনো সাধারণ ফোনমালিকের হলে, ট্রাফিকটি প্রকৃত নির্দেশদাতার বদলে মালিকের ইন্টারনেট ঠিকানা থেকে এসেছে বলে মনে হতে পারে।

উপাদানটি ডিভাইসকে একটি দূরবর্তী সার্ভারে নিবন্ধিত করত এবং নির্দিষ্ট গন্তব্যে সংযোগ করে ট্রাফিক পাঠানোর নির্দেশ পেতে পারত। এ ধরনের সক্ষমতা দূর থেকে নিয়ন্ত্রিত ডিভাইসের নেটওয়ার্ক বা বটনেট গড়ে তুলতে সহায়তা করতে পারে। ওই সংযোগে প্রবেশাধিকার বিক্রির মাধ্যমে আয়ের আরেকটি পথও তৈরি হতে পারে।

Bitdefender নিশ্চিত করেছে যে প্রক্সি অবকাঠামো তাদের পরীক্ষামূলক ডিভাইসের নিবন্ধন গ্রহণ করেছিল। তবে পরীক্ষার সময় ডিভাইসটি কোনো ট্রাফিক রিলে করার গন্তব্য পায়নি। ফলে তদন্তে সংযোগ নিবন্ধন এবং ট্রাফিক পাঠানোর সক্ষমতা প্রমাণিত হয়েছে, কিন্তু ওই পরীক্ষায় সক্রিয়ভাবে ট্রাফিক পাঠানো প্রমাণিত হয়নি।

ডিস্ট্রিবিউটেড ডিনায়াল অব সার্ভিস (DDoS) হামলার ক্ষেত্রেও একই সতর্কতা প্রযোজ্য। এ ধরনের হামলায় বহু ডিভাইস থেকে ট্রাফিক পাঠিয়ে কোনো লক্ষ্যকে অচল করে দেওয়া হয়। গবেষকেরা বটনেটে অংশগ্রহণ ও এ ধরনের হামলাকে সম্ভাব্য ব্যবহার হিসেবে উল্লেখ করেছেন। অনুসন্ধানে প্রমাণিত হয়নি যে Midnight Mimosa-তে আক্রান্ত ফোন দিয়ে কোনো নির্দিষ্ট হামলা চালানো হয়েছিল, কিংবা ওই সংযোগে প্রবেশাধিকার কিনেছিল এমন কোনো গ্রাহককে শনাক্ত করা হয়েছে।

অনুসন্ধানে কোন ডিভাইস ও দেশ ছিল?

দেশভিত্তিক হিসাবে মেক্সিকো, ফ্রান্স ও ইতালি এগিয়ে ছিল; এরপর ছিল যুক্তরাষ্ট্র, জার্মানি, ব্রাজিল ও স্পেন। প্রায় দুই বছরের হিসাবে হাজার হাজার স্বতন্ত্র ডিভাইস অন্তর্ভুক্ত হলেও অভিযানের সুনির্দিষ্ট মোট সংখ্যা দেওয়া হয়নি। এগুলো শনাক্ত হওয়া ডিভাইসের হিসাব, বিক্রি হওয়া প্রতিটি সংক্রমিত ফোনের পূর্ণ গণনা নয়।

শনাক্ত হওয়া সংক্রমিত ডিভাইসের ১১ শতাংশের বেশি নিজেদের KINGKONG X হিসেবে পরিচয় দিয়েছে; এই মডেল নাম Cubot-এর সঙ্গে যুক্ত। ৪ শতাংশের বেশি নিজেদের S200 X হিসেবে পরিচয় দিয়েছে; এই নাম Doogee-এর সঙ্গে যুক্ত। প্রতিবেদনে উল্লেখিত এই দুই মডেল গোষ্ঠী মিলিয়ে মোট শনাক্তকরণের ১৫ শতাংশের বেশি। তদন্তসংক্রান্ত প্রতিবেদনে Cubot Kingkong 9-এর কথাও এসেছে।

সংক্রমিত ডিভাইসের ৩৫.৮ শতাংশ ছিল শীর্ষ ১৫টি ফোন ব্র্যান্ডের। প্রায় ৬৪ শতাংশকে ‘অন্যান্য’ হিসেবে ধরা হয়েছে; এটি প্রতিবেদনে দেওয়া আনুমানিক ও পূর্ণসংখ্যায় প্রকাশিত হিসাব। বণ্টনটি একটি পরিচিত ব্র্যান্ডে সীমাবদ্ধ অভিযানের বদলে বিচ্ছিন্ন নানা পণ্যের বাজারে ছড়িয়ে পড়ার ইঙ্গিত দেয়।

নকল মডেল শনাক্তকারীর মধ্যে ছিল i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra এবং Note 18 Ultra। iPadAirPro নামের একটি ট্যাবলেটও দেখা গেছে। কমদামি অ্যান্ড্রয়েড হার্ডওয়্যার এসব নাম দেখিয়েছিল; এগুলোকে আসল Apple বা Samsung পণ্যে ম্যালওয়্যার ছিল—এমন প্রমাণ হিসেবে দেখা উচিত নয়।

সফটওয়্যার কোনো ডিভাইসের পরিচয় ভুলভাবে দেখাতে পারে বলে শুধু মডেল শনাক্তকারী নিখুঁত প্রমাণ নয়। নির্দিষ্ট মডেলে সংক্রমণ পাওয়া গেলেও ওই নামে বিক্রি হওয়া প্রতিটি ইউনিট আক্রান্ত ছিল, তা প্রমাণ হয় না। প্রযুক্তিগত অনুসন্ধান আক্রান্ত ডিভাইস ও ফার্মওয়্যার বিল্ড নিয়ে; সব MediaTek পণ্য বা উল্লেখিত ব্র্যান্ডের সব ফোন নিয়ে নয়।

ফার্মওয়্যারের সনদ থেকে দায় নির্ধারণ করা যায় না

কিছু আক্রান্ত ফার্মওয়্যার Shenzhen Zediel নামযুক্ত সনদ দিয়ে স্বাক্ষরিত ছিল। স্বাক্ষরের প্রমাণটি গুরুত্বপূর্ণ, কারণ এটি ক্ষতিকর উপাদানকে ডিভাইসের বিশ্বস্ত ফার্মওয়্যারের সঙ্গে যুক্ত করে। তবে শুধু এই প্রমাণ দিয়ে কে ম্যালওয়্যার ঢুকিয়েছে, বা সনদধারী প্রতিষ্ঠান সেটি থাকার কথা জানত কি না, তা প্রতিষ্ঠিত হয় না।

এই দায় নির্ধারণে তদন্তে কী প্রতিষ্ঠা করা সম্ভব, সে বিষয়ে গোজব ও বাচিউ স্পষ্ট সীমা টেনেছেন:

আমরা শুধু নিশ্চিত করতে পারি যে আক্রান্ত ডিভাইসগুলোর ফার্মওয়্যারে স্বাক্ষর দিতে Shenzhen Zediel নামযুক্ত সনদ ব্যবহার করা হয়েছিল।

প্রতিবেদনে ওই নামের পেছনের ব্যবসাকে বিভিন্নভাবে বর্ণনা করা হয়েছে; কোথাও অ্যান্ড্রয়েড ডিভাইস নির্মাতা, কোথাও আবার মাদারবোর্ড ডেভেলপারের সঙ্গে সংশ্লিষ্ট বলে মনে করা হয়েছে। এসব বর্ণনা দায় নির্ধারণ করে না। Bitdefender এমন আক্রান্ত ফোনও পেয়েছে, যেগুলোর ফার্মওয়্যারের স্বাক্ষর সনদে Zediel নাম ছিল না। ফলে ওই স্বাক্ষর পরিচয় না পূর্ণ ব্যাখ্যা, না সর্বজনীন শনাক্তকারী।

ক্ষতিকর কোড ঢোকার সম্ভাব্য ধাপের মধ্যে ছিল মূল নকশা প্রস্তুতকারী (ODM), ফার্মওয়্যার সংযোজনকারী, সরবরাহ অংশীদার বা বিতরণ ব্যবস্থার অন্য কোনো পক্ষ। প্রতিবেদনে কোনো একটিকে দায়ী করা হয়নি। নিশ্চিত অনুসন্ধানটি হলো, আক্রান্ত ফোন বিক্রির আগেই ম্যালওয়্যারটি ফার্মওয়্যারের সঙ্গে এসেছিল।

অ্যাপ মুছলেই সমস্যার সমাধান হয় না, মালিকদের অভিজ্ঞতায় তা স্পষ্ট

Cubot ও Doogee ফোনের মালিকেরা সন্দেহজনক অ্যাপ মুছে ফেলার পর আবার ইনস্টল হওয়ার কথা জানিয়েছেন। Doogee Fire 3 Max-এর এক মালিক জানান, একটি অফিসিয়াল ফার্মওয়্যার হালনাগাদে সংক্রমণ আসে, পুরোনো ফার্মওয়্যারে ফিরে গেলে তা সরে যায় এবং হালনাগাদটি আবার ইনস্টল করলে সংক্রমণ ফিরে আসে। এগুলো ব্যবহারকারীদের বর্ণনা; আক্রান্ত ফার্মওয়্যারের প্রতিটি সংস্করণের ইতিহাস স্বাধীনভাবে প্রতিষ্ঠিত নয়।

কিছু মালিক বলেছেন, পরে নির্মাতার হালনাগাদে সংক্রমণ দূর হয়েছে। আক্রান্ত ফার্মওয়্যারে ক্ষতিকর কোড কীভাবে ঢুকল, নির্মাতারা তা প্রকাশ্যে ব্যাখ্যা করেননি। সব মিলিয়ে এসব বিবরণ থেকে বোঝা যায়, তদন্ত ও মেরামতের সময় ফার্মওয়্যারের সংস্করণকে গুরুত্ব দিতে হবে; ডাউনলোড করা অ্যাপ মুছলেই সমস্যা শেষ—এমন ধরে নেওয়া যাবে না।

তদন্ত ও পরবর্তী প্রতিবেদন থেকে প্রতিষ্ঠিত মূল ঘটনাক্রম:

• প্রায় দুই বছর ধরে Bitdefender ১৫০টিরও বেশি দেশের হাজার হাজার আক্রান্ত ডিভাইস পর্যবেক্ষণ করেছে।
• ৮ অক্টোবর ২০২৬-এ Bitdefender Midnight Mimosa নিয়ে তাদের তদন্তের প্রতিবেদন প্রকাশ করে।
• ৯ অক্টোবর ২০২৬-এ প্রযুক্তিগত প্রতিবেদনটি হালনাগাদ করা হয়।
• ১২ অক্টোবর প্রকাশিত প্রতিবেদন পর্যন্ত সংশ্লিষ্ট গুগল প্লে অ্যাপ এবং আক্রান্ত ফার্মওয়্যারের দায় কার, তা অমীমাংসিত উদ্বেগ ছিল।

Bitdefender বলছে, ফার্মওয়্যার ঠিক করতে হবে, অথবা Android Debug Bridge ব্যবহার করে ক্ষতিকর উপাদানটি নিষ্ক্রিয় করতে হবে। Android Debug Bridge-কে সাধারণত ADB বলা হয়। ডিবাগিং ও প্রশাসনিক কাজের জন্য এটি কম্পিউটারকে অ্যান্ড্রয়েড ডিভাইসের সঙ্গে যোগাযোগ করতে দেয়। কোনো উপাদান নিষ্ক্রিয় করা আর আক্রান্ত ফার্মওয়্যারের বদলে যাচাইকৃত পরিচ্ছন্ন সংস্করণ বসানো এক বিষয় নয়।

সবার জন্য প্রযোজ্য কোনো পরিষ্কারের নির্দেশ বা নিশ্চিত পরিচ্ছন্ন ফার্মওয়্যারের তালিকা পাওয়া যায়নি। মালিকদের উচিত বিক্রেতা বা নির্মাতার কাছ থেকে যাচাইকৃত প্রতিকার বা বদলি ডিভাইস নেওয়া; শুধু ‘অফিসিয়াল’ লেখা আছে বলে কোনো হালনাগাদ নিরাপদ ধরে নেওয়া উচিত নয়। ডিভাইসের অবস্থা অমীমাংসিত থাকলে পরিচিত আক্রান্ত ফোনে ব্যাংকিং, সংবেদনশীল অ্যাকাউন্টে যাচাই এবং গুরুত্বপূর্ণ তথ্য সংরক্ষণ এড়িয়ে চলা বিচক্ষণতার পরিচয়।

উদ্বেগের মধ্যে রয়েছে এমন সংবেদনশীল অ্যাক্সেসও, যা গবেষকেরা ব্যবহার হতে দেখেননি। Accessibility ও Notification Access বারবার দেওয়া ও প্রত্যাহার করা হয়েছে, আর SMS-এর অনুমতিও ছিল। দূর থেকে পাঠানো কোড সক্রিয় হলে এসব সক্ষমতার মাধ্যমে স্ক্রিনের বিষয়বস্তু, বিজ্ঞপ্তি বা যাচাইকরণ বার্তা প্রকাশ পেতে পারে। এটি একটি প্রমাণিত ঝুঁকি; বিশ্লেষণের সময় Midnight Mimosa এসব তথ্য চুরি করেছে, তার প্রমাণ নয়।

মূল তথ্য

• আক্রান্ত ডিভাইস ক্রেতাদের হাতে পৌঁছানোর আগেই অ্যান্ড্রয়েড ফার্মওয়্যারের ভেতরে Midnight Mimosa পাওয়া গেছে।
• প্রায় দুই বছরে ১৫০টিরও বেশি দেশের হাজার হাজার আক্রান্ত ডিভাইস Bitdefender-এর নজরে এসেছে।
• অভিযানে ছদ্মবেশী অন্তত ৩২টি পেলোড অ্যাপ ছড়ানো হয়েছিল; গুগল প্লে-র ১৩টি অ্যাপে একই বিজ্ঞাপন জালিয়াতির কোড ও অবকাঠামো ছিল।
• সিস্টেমের বিশেষাধিকার নীরবে অ্যাপ ইনস্টল, অনুমতি প্রদান এবং দূর থেকে কোড লোড করার সুযোগ দিয়েছিল।
• প্রক্সিতে ডিভাইস যুক্ত হওয়া নিশ্চিত হয়েছে, তবে পরীক্ষামূলক ডিভাইসে সক্রিয় ট্রাফিক পাঠানো দেখা যায়নি।
• ফার্মওয়্যারের স্বাক্ষর সনদ থেকে ম্যালওয়্যার কে ঢুকিয়েছে বা সনদধারীরা এতে জড়িত ছিলেন কি না, তা প্রতিষ্ঠিত হয়নি।
• শুধু ছদ্মবেশী অ্যাপ মুছে ফেললে স্থায়ী উপাদানটি দূর হয় না। ফার্মওয়্যারে ব্যবস্থা নিতে হবে অথবা ওই উপাদান নিষ্ক্রিয় করতে হবে।