Prvi Android malver za automobile otkriven na uređajima DoFun
Istraživači kompanije Kaspersky otkrili su prvi Android malver za automobile, koji se ugrađuje u multimedijalne sisteme vozila i povezuje ih u botnet. Zaraženi uređaji mogu se zloupotrijebiti za prikazivanje oglasa, generisanje lažnih klikova i preusmjeravanje internet saobraćaja, saopšteno je iz te kompanije.
Malver je pronađen na Android multimedijalnim jedinicama kineskog proizvođača DoFun. Riječ je o prvom dokumentovanom slučaju da se zlonamjerni kod na automobilski multimedijalni sistem instalira putem lanca infekcije posebno dizajniranog za tu vrstu uređaja. U ranijim napadima, prema istraživačima, uglavnom je bio potreban fizički pristup vozilu ili iskorištavanje ranjivosti operativnog sistema i njegovih komponenti.
Kako počinje napad
Napad počinje zloupotrebom aplikacije TWCore, legitimnog sistemskog alata instaliranog na DoFun uređajima, koji prikuplja analitičke podatke i služi za ažuriranje softvera. TWCore ima mogućnost da preuzima i instalira Android aplikacije koje prethodno nisu bile prisutne na uređaju, a tu funkciju napadači su iskoristili da postave malicioznu aplikaciju JarService.
Za infekciju nije potrebna nikakva akcija korisnika – on ne mora da klikne na link, posjeti zlonamjernu stranicu niti da sam pokrene instalaciju.
Višestepeni napad i proksi botnet
JarService nema korisnički interfejs, pa vozač ne može primijetiti da je uređaj kompromitovan. Aplikacija predstavlja početnu fazu višestepenog napada: dešifruje i pokreće dodatni maliciozni kod, koji zatim kontaktira server napadača i preuzima sljedeće komponente.
U završnoj fazi malver prikuplja podatke o uređaju, uključujući model, rezoluciju ekrana, MAC adresu i naziv Wi-Fi mreže na koju je multimedijalni sistem povezan. Istraživači su utvrdili da može da prikazuje oglase, generiše lažne klikove te preuzima i izvršava dodatni kod.
Jedan od instaliranih modula, nazvan zhima, pretvara zaraženi uređaj u reverzni proksi. To omogućava da se internet saobraćaj drugih korisnika usmjerava preko veze automobila, tako da aktivnost izgleda kao da dolazi sa IP adrese vlasnika vozila. Kaspersky navodi da ovaj modul potvrđuje da je krajnji cilj napadača izgradnja proksi botneta.
Veza sa grupom MoYu
Kaspersky je kampanju sa visokim stepenom pouzdanosti pripisao grupi MoYu, povezanoj sa operacijom malvera BadBox. BadBox je ranije korišten za kompromitovanje Android telefona, tableta, televizijskih uređaja i drugih proizvoda povezanih sa internetom.
Istraživači su o načinu distribucije malvera obavijestili kompaniju DoFun, koja je potom saopštila da je otklonila bezbjednosne probleme. Ovaj slučaj, međutim, pokazuje da napadači proširuju operaciju BadBox na nove vrste uređaja i da se malver sada može širiti i zloupotrebom legitimnog mehanizma za ažuriranje sistemskih aplikacija.
