Автомобильный Android попал в ботнет

Эксперты предупредили о новой угрозе для подключённых автомобилей: хакеры начали заражать автомобильные головные устройства — мультимедийные системы, которые в некоторых моделях связаны и с функциями управления машиной. Речь идёт об устройствах на Android, устанавливаемых производителем или добавляемых позже как замена штатной системе.

«Лаборатория Касперского» обнаружила вредоносную кампанию, которая атакует такие устройства напрямую. По данным исследователей, это первый задокументированный случай цепочки заражения, созданной специально для автомобильных головных устройств.

Атаку, вероятно, связывают с группировкой MoYu Group, которая считается близкой к известному ботнету BadBox. Ботнет — это сеть заражённых устройств, которыми преступники управляют удалённо. В BadBox уже входили телевизионные приставки, смартфоны и планшеты, в том числе устройства, поступавшие к покупателям заражёнными ещё с завода.

В новой кампании злоумышленники использовали легитимный механизм обновлений головных устройств производства DoFun. Цепочка начиналась с TWCore — штатного системного приложения, отвечающего за сбор аналитики и удалённое обновление программного обеспечения. Доверенный канал обновлений был перехвачен: специальный загрузчик JarService доставлял на устройства ранее неизвестную вредоносную программу.

После установки она работала незаметно, как обычное фоновое приложение, не показывая интерфейса. Исследователи обнаружили девять удалённых команд. Они позволяли выводить нежелательную рекламу и проводить разные виды рекламного мошенничества — например, имитировать действия пользователей ради незаконного заработка.

Вредоносная программа также собирала сведения об устройстве: разрешение экрана, модель, идентификатор Wi-Fi-сети и MAC-адрес — уникальный сетевой идентификатор оборудования.

Специалисты нашли технические совпадения с прежними атаками на телевизионные приставки, связанными с той же группой. Кроме того, панель управления ботнетом содержала встроенные адреса, совпадающие с сайтами сервисов резидентских прокси PXYEDGE и ProxyForU. Такие сервисы позволяют направлять интернет-трафик через устройства обычных пользователей, поэтому заражённые головные устройства могут представлять интерес не только для рекламы, но и для построения скрытой сети посредников.

«Лаборатория Касперского» сообщила DoFun о злоупотреблении официальным каналом распространения программ и инфраструктурой обновлений. В DoFun заявили, что проблему устранили на большинстве затронутых устройств, уже находящихся в эксплуатации.

Угроза сохраняется из-за самой конструкции рынка. Производители часто выбирают Android, поскольку он упрощает настройку интерфейса и интеграцию систем. Поэтому на головных устройствах могут запускаться многие обычные Android-приложения и значительная часть вредоносных программ, созданных для этой платформы.

Обычно такие системы не хранят много личных данных, что могло бы сделать их малоинтересными для преступников. Но у них нередко есть SIM-карта и постоянное интернет-соединение для навигации, обновлений и других сервисов. Постоянная связь при сравнительно слабом контроле безопасности превращает автомобильный экран в удобную мишень.

Точный масштаб кампании пока неизвестен. Также не установлено, сталкивались ли с аналогичной уязвимостью другие производители автомобильных головных устройств.