Android para automóviles acaba en una botnet
Los expertos han advertido de una nueva amenaza para los coches conectados: los piratas informáticos han empezado a infectar las unidades principales de los vehículos, es decir, los sistemas multimedia que, en algunos modelos, también están vinculados a funciones de control del coche. Se trata de dispositivos Android instalados por el fabricante o añadidos posteriormente como sustitutos del sistema original.
Kaspersky ha detectado una campaña maliciosa que ataca directamente estos dispositivos. Según los investigadores, es el primer caso documentado de una cadena de infección creada específicamente para unidades principales de automóviles.
El ataque se atribuye probablemente al grupo MoYu Group, considerado cercano a la conocida botnet BadBox. Una botnet es una red de dispositivos infectados que los delincuentes controlan a distancia. BadBox ya había incluido decodificadores de televisión, móviles y tabletas, algunos de los cuales llegaban a los compradores infectados de fábrica.
En la nueva campaña, los atacantes utilizaron el mecanismo legítimo de actualización de las unidades principales fabricadas por DoFun. La cadena empezaba con TWCore, una aplicación del sistema que se encarga de recopilar datos analíticos y actualizar el software a distancia. El canal de actualización de confianza fue interceptado: un cargador especial llamado JarService instalaba en los dispositivos un programa malicioso hasta entonces desconocido.
Una vez instalado, funcionaba de forma invisible, como una aplicación normal en segundo plano, sin mostrar interfaz alguna. Los investigadores detectaron nueve comandos remotos. Permitían mostrar publicidad no deseada y llevar a cabo distintos tipos de fraude publicitario, por ejemplo, simular acciones de usuarios para obtener beneficios ilícitos.
El programa malicioso también recopilaba información sobre el dispositivo: la resolución de pantalla, el modelo, el identificador de la red Wi-Fi y la dirección MAC, un identificador de red único del equipo.
Los especialistas encontraron coincidencias técnicas con ataques anteriores contra decodificadores de televisión, vinculados al mismo grupo. Además, el panel de control de la botnet contenía direcciones integradas que coincidían con las páginas web de los servicios de proxy residencial PXYEDGE y ProxyForU. Estos servicios permiten dirigir el tráfico de Internet a través de dispositivos de usuarios corrientes, por lo que las unidades principales infectadas podrían interesar no solo para mostrar publicidad, sino también para crear una red oculta de intermediarios.
Kaspersky informó a DoFun del uso abusivo de su canal oficial de distribución de software y de la infraestructura de actualización. DoFun declaró que había resuelto el problema en la mayoría de los dispositivos afectados que ya estaban en uso.
La amenaza persiste por la propia estructura del mercado. Los fabricantes suelen elegir Android porque facilita la configuración de la interfaz y la integración de sistemas. Por eso, en las unidades principales pueden ejecutarse muchas aplicaciones Android corrientes y buena parte del malware creado para esta plataforma.
Por lo general, estos sistemas no almacenan muchos datos personales, lo que podría hacerlos poco interesantes para los delincuentes. Sin embargo, a menudo tienen una tarjeta SIM y una conexión permanente a Internet para la navegación, las actualizaciones y otros servicios. La conectividad constante, junto con unos controles de seguridad relativamente débiles, convierte la pantalla del coche en un blanco fácil.
Por ahora se desconoce el alcance exacto de la campaña. Tampoco se ha determinado si otros fabricantes de unidades principales para automóviles se han visto afectados por una vulnerabilidad similar.
PEREC.RU
El artículo describe una nueva campaña de malware para Android dirigida específicamente a las unidades principales de los automóviles, los sistemas multimedia instalados de fábrica o añadidos posteriormente. Kaspersky la considera el primer caso documentado de una infección diseñada para esta cadena concreta. Se señala como posible responsable a MoYu Group, vinculado a la botnet BadBox, una red de dispositivos Android infectados que ya había incluido decodificadores de televisión, móviles y tabletas, algunos con infección de fábrica.
Los atacantes aprovecharon el mecanismo legítimo de actualizaciones remotas de las unidades principales de DoFun. La cadena empezaba con TWCore, una aplicación del sistema destinada a recopilar datos analíticos y actualizar el software. A través del canal de confianza interceptado, el cargador JarService instalaba un programa malicioso hasta entonces desconocido.
Una vez instalado, el programa funcionaba en segundo plano y no mostraba ninguna interfaz. Se detectaron nueve comandos remotos que permitían mostrar publicidad no deseada y llevar a cabo distintas formas de fraude publicitario. El malware también recopilaba la resolución de pantalla, el modelo del dispositivo, el identificador de la red Wi-Fi y la dirección MAC.
Los investigadores encontraron vínculos técnicos con ataques anteriores contra decodificadores de televisión atribuidos al mismo grupo. El panel de control de la botnet incluía direcciones que coincidían con las páginas de los servicios de proxy residencial PXYEDGE y ProxyForU. Esto apunta a un posible uso de los dispositivos infectados para redirigir tráfico de Internet a través de una red de usuarios corrientes.
Kaspersky avisó a DoFun del uso abusivo de los canales oficiales de distribución de software y actualización. La empresa afirmó haber resuelto el problema en la mayoría de los dispositivos afectados que ya estaban en uso.
El riesgo persiste por el amplio uso de Android en los sistemas de los automóviles. La plataforma facilita a los fabricantes la configuración de la interfaz y la integración de funciones, pero también permite ejecutar muchas aplicaciones Android habituales y malware creado para este sistema operativo. Las unidades principales suelen almacenar pocos datos personales, pero a menudo cuentan con tarjeta SIM y conexión permanente a Internet para la navegación y las actualizaciones. La conexión constante y unos controles de seguridad relativamente débiles las convierten en objetivos atractivos. Aún se desconoce el alcance de la campaña y si afecta a sistemas similares de otros fabricantes.
