Kaspersky: דלת אחורית בשם Keenadu נמצאה בקושחה של טבלטים אנדרואיד
ב-17 בפברואר 2026 דיווחה Kaspersky על Keenadu, קוד זדוני שמוסתר בקושחה של טבלטים מכמה יצרנים. לפי הדוח, 13,715 משתמשים נתקלו בו או במודולים שלו.
TL;DR בקצרה
- Kaspersky מצאה את Keenadu בקושחה של טבלטים מכמה יצרנים. רק Alldocube נקראת בשמה.
- ספרייה זדונית נקשרה לליבת אנדרואיד בזמן בניית הקושחה, והקוד נטען לכל אפליקציה שנפתחת.
- המודולים מפנים חיפושים, חוטפים התקנות ולוחצים על מודעות. חלק מהקוד הגיע גם דרך אפליקציות ב-Google Play.
- אי אפשר להסיר את הספרייה בכלים רגילים. Kaspersky ממליצה לחפש קושחה נקייה ולהפסיק להשתמש במכשיר עד אז.
Kaspersky מצאה דלת אחורית בשם Keenadu בקושחה של טבלטים אנדרואיד מכמה יצרנים. לפי הדוח של Kaspersky מ-17 בפברואר 2026, התוקפים שילבו את הקוד הזדוני כבר בבניית הקושחה. החברה מדווחת ש-13,715 משתמשים בעולם נתקלו ב-Keenadu או במודולים שלו.
איך Keenadu נכנסת לקושחה של הטבלט
התוקפים קישרו ספרייה זדונית ל-libandroid_runtime.so, ספריית ליבה של אנדרואיד. מכאן הקוד נטען לתוך כל אפליקציה שנפתחת במכשיר. Kaspersky מגדירה זאת מתקפת שרשרת אספקה. הקושחות שבדקה נשאו חתימות דיגיטליות תקינות, ולכן ההדבקה כנראה נעשתה בשלב הבנייה. בכמה מקרים הגיעה הקושחה הנגועה בעדכון אוויר (OTA).
Keenadu היא רכיב טעינה רב-שלבי. לדברי Kaspersky, היא נותנת למפעילים שליטה מרחוק במכשיר. Kaspersky מזכירה בשם יצרן אחד בלבד, Alldocube. הדגמים הם iPlay 50 mini Pro ו-iPlay 50 mini Pro NFE. הקושחה הראשונה של ה-NFE, מ-7 בנובמבר 2023, היתה נקייה. הגרסאות שבאו אחריה, כולל זו מ-20 במאי 2024, הכילו את Keenadu, לפי Kaspersky.
משתמשים דיווחו על שאילתות DNS חשודות. Alldocube הודתה בנוכחות נוזקה בדגם אחד, בלי לפרט איזו נוזקה ואיך נכנסה. יצרנים נוספים קיבלו הודעה מ-Kaspersky, אבל שמותיהם לא פורסמו. לכן אין רשימה מלאה של מכשירים.
מה Keenadu עושה לטבלט
רוב המודולים נועדו להרוויח מפרסום. חלק מהקוד רושם את החיפושים ב-Chrome ומפנה אותם למנוע חיפוש אחר. קוד אחר חוטף התקנות של אפליקציות ושולח לרשתות הפרסום נתוני לחיצה מזויפים. המודול Nova לוחץ על מודעות באתרים.
יש גם צד חמור. Nova יכול להוריד מודול ריגול, ומודול אחר שולף את מזהה הפרסום של Google. משתמשים דיווחו שמוצרים נוספו לעגלה שלהם ב-Amazon, ב-SHEIN וב-Temu בלי ידיעתם. Kaspersky מצביעה על מודול טעינה ייעודי לאתרים האלה, אבל לא השיגה אותו.
הקוד לא נשאר רק בקושחה. Kaspersky מצאה אותו באפליקציות מערכת, כמו שירות זיהוי פנים וכמה אפליקציות משגר. אפליקציות בחנות GetApps של Xiaomi, וגרסאות ששונו של אפליקציות פופולריות מאתרים לא רשמיים, נשאו אותו גם הן. בנוסף, אפליקציות מצלמה חכמה ב-Google Play הורדו מעל 300,000 פעמים והפעילו את Nova. Kaspersky דיווחה ל-Google, ולדבריה Google הסירה את הנוזקה.
מה עושים עם טבלט שנגוע ב-Keenadu
Kaspersky מבחינה בין שלושה מצבים. אם הקושחה נגועה, אי אפשר להסיר את הספרייה בכלים הרגילים בלי לשבש את המכשיר. צריך לבדוק אם יצא עדכון קושחה נקי, והבהקה ידנית עלולה להפוך את הטבלט ללבנה. עד אז היא ממליצה להפסיק להשתמש בו.
אם אפליקציית מערכת נגועה, אי אפשר להסיר אותה. אפשר להחליף אותה או להשבית אותה בפקודה adb shell pm disable --user 0 עם שם החבילה. אם הותקנה אפליקציה נגועה, מסירים אותה.
Kaspersky מצאה חפיפות בין Keenadu ל-BADBOX, Triada ו-Vo1d. היא מדגישה שקשר בין זוגות אינו מוכיח קשר בין כולם. היא לא טוענת לחיבור ישיר בין Keenadu ל-Triada.
מה זה אומר עבורכם
- בדקו את הדגם: האם הטבלט שלכם ממותג זול ולא מוכר? חפשו אצל היצרן עדכון נקי. ל-Alldocube iPlay 50 mini Pro זה חשוב במיוחד.
- הגבילו שימוש רגיש: עד שיש קושחה נקייה, אל תכניסו לטבלט חשבון בנק או דוא״ל עבודה.
- חפשו סימנים: חיפושים ב-Chrome שמופנים למנוע זר, מוצרים בעגלה שלא הוספתם ושאילתות DNS חריגות.
- נקו אפליקציות: הסירו אפליקציות מצלמה חכמה לא מוכרות. גם חנות רשמית אינה ערובה: נוזקה הופיעה ב-Google Play לפני שהוסרה.
- בארגון, מפו טבלטים: בדקו מכשירים בחדרי ישיבות, בעמדות קופה ובשלטי תצוגה. החליפו מכשירים שאי אפשר לעדכן.
מקורות והרחבה
- Keenadu: a backdoor in Android firmware (Securelist)Kaspersky Securelist
- Firmware-level Android backdoor found on tablets from multiple manufacturersHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
