Calculatoarele de bord ale mașinilor, noua țintă pentru atacatori. Cum au fost infectate

O campanie de malware a vizat sistemele multimedia bazate pe Android instalate pe anumite automobile, prin intermediul mecanismelor folosite pentru actualizarea software-ului. Programul malware putea afișa reclame nedorite, efectua fraude publicitare, descărca alte componente și transmite informații despre dispozitiv.

Calculatoarele de bord ale mașinilor, noua țintă pentru atacatori. Foto: Shutterstock

Problema a fost identificată și semnalată furnizorului sistemelor, care a precizat că a remediat-o.

Calculatoarele de bord ale mașinilor, o nouă țintă

Sistemele multimedia ale automobilelor, cunoscute și sub denumirea de „Head Unit”, sunt ecranele și calculatoarele integrate în bord care asigură funcții precum navigația, redarea conținutului multimedia și conectarea la internet. În unele cazuri, acestea pot avea și funcții legate de controlul mașinii.

Astfel de sisteme pot fi instalate din fabrică sau adăugate ulterior pe automobile mai vechi. Multe dintre ele folosesc sistemul de operare Android, ceea ce permite instalarea unor aplicații și face posibilă rularea unor programe malițioase concepute pentru acest sistem de operare.

Sistemele au, de regulă, acces permanent la internet pentru navigație și actualizări software și pot avea sloturi pentru cartele SIM. Aceste caracteristici le pot transforma în ținte pentru atacatori.

Malware-ul a fost distribuit printr-o actualizare

Campania identificată de experţii Kaspersky a vizat mai multe modele de sisteme multimedia bazate pe Android produse de DoFun. Programul malițios a fost distribuit prin mecanismul folosit pentru actualizarea software-ului sistemului.

Procesul pornea de la o aplicație legitimă de sistem, numită TWCore, care era folosită pentru colectarea unor date despre funcționarea dispozitivului și pentru instalarea sau actualizarea aplicațiilor.

Atacatorii au exploatat acest mecanism pentru a trimite către sistemele multimedia un program malițios care nu fusese identificat anterior. Acesta folosea o componentă numită JarService pentru a începe instalarea.

Programul era instalat ca o aplicație obișnuită, dar nu afișa o interfață pe ecran și funcționa în fundal, astfel încât utilizatorul să nu observe activitatea sa.

Furnizorul sistemelor a fost informat despre folosirea abuzivă a mecanismului de actualizare și a precizat ulterior că problema a fost remediată.

Ce putea face programul malițios

Analiza a identificat nouă tipuri de comenzi pe care atacatorii le puteau trimite sistemului infectat.

Printre acestea se numărau afișarea unor reclame nedorite, realizarea unor activități de fraudă publicitară și descărcarea unor programe malițioase suplimentare.

Sistemul infectat putea transmite către atacatori și informații despre dispozitiv, precum modelul acestuia, rezoluția ecranului, identificatorul rețelei Wi-Fi la care era conectat și adresa MAC, un identificator al interfeței de rețea a dispozitivului.

Legături cu rețeaua BadBox

Cercetătorii au identificat asemănări între această campanie și atacuri anterioare asupra dispozitivelor Android de tip set-top box, folosite pentru recepția și redarea conținutului TV.

Aceste asemănări indică o posibilă legătură cu gruparea MoYu, asociată cu BadBox, o rețea de dispozitive Android infectate.

BadBox a fost asociat cu dispozitive precum box-uri pentru streaming, telefoane și tablete care pot ajunge la utilizatori cu programe malițioase instalate încă din fabrică.

După infectare, dispozitivele pot fi folosite pentru afișarea frauduloasă de reclame, colectarea unor informații sau redirecționarea traficului de internet prin conexiunile utilizatorilor.

În cazul campaniei care a vizat sistemele multimedia ale automobilelor, cercetătorii au identificat elemente comune și în infrastructura folosită pentru administrarea dispozitivelor infectate, inclusiv legături către servicii comerciale care oferă acces la conexiuni de internet ale utilizatorilor.