Android tabanlı araç içi multimedya sistemlerini hedef alan yeni bir zararlı yazılım kampanyası tespit edildi. Çok aşamalı bir indirici üzerinden çalışan saldırı zinciri, araç multimedya ünitelerine özel olarak hazırlanmış yapısıyla bu alanda belgelenen ilk örneklerden biri oldu. Zararlı yazılım; reklam sahtekarlığı, ek kötü amaçlı modüllerin indirilmesi ve cihaz bilgilerinin ele geçirilmesi için kullanılıyor.
Zararlı yazılım araçların güncelleme mekanizması üzerinden dağıtıldı
Yeni saldırının hedefinde, araçların eğlence ve multimedya özelliklerini yöneten Head Unit olarak adlandırılan sistemler bulunuyor. Bu üniteler otomobil üreticileri tarafından fabrikada araca entegre edilebildiği gibi eski araçlara sonradan da takılabiliyor.
Araç içi multimedya sistemlerinde Android’in yaygın biçimde kullanılması, normal Android uygulamalarının yanı sıra bu işletim sistemi için geliştirilen zararlı yazılımların da söz konusu cihazlarda çalışabilmesini mümkün kılıyor. Multimedya üniteleri çoğu zaman yüksek miktarda kişisel veri saklamasa da SIM kart yuvası ve navigasyon ile yazılım güncellemeleri için sürekli internet bağlantısı gibi özelliklere sahip olabiliyor.
Tespit edilen kampanyada zararlı yazılım, DoFun tarafından desteklenen Android tabanlı farklı multimedya ünitesi modellerinin ürün yazılımında bulunan güncelleme mekanizmaları üzerinden dağıtıldı. Sorunun tespit edilmesinin ardından DoFun bilgilendirildi ve şirket açığın giderildiğini bildirdi.
Bulaşma zincirinin başlangıç noktasında TWCore isimli meşru bir sistem uygulaması yer alıyor. Normal şartlarda analiz verilerini toplamak ve multimedya ünitesinin yazılımını güncellemek için kullanılan TWCore, üreticinin sunucularından hangi uygulamaların kurulacağı veya güncelleneceğine ilişkin talimatları alıyor.
Saldırganlar bu iletişim kanalını kullanarak JarService adlı bir dropper üzerinden daha önce bilinmeyen zararlı yazılımları araç sistemlerine gönderdi. Birden fazla aşamadan oluşan yapı, tespit mekanizmalarından kaçınacak şekilde hazırlandı.
Zararlı yazılım sisteme standart bir kullanıcı uygulaması gibi kuruluyor ancak herhangi bir kullanıcı arayüzüne sahip değil. Bu nedenle uygulama ekranda görünmeden arka planda çalışmaya devam edebiliyor.
İncelenen zararlı yazılım altyapısında saldırganların kullanabildiği dokuz farklı komut tespit edildi. Bu komutlar istenmeyen reklamların gösterilmesi, reklam sahtekarlığı yapılması ve sisteme ek zararlı modüllerin indirilmesi gibi işlemlerin gerçekleştirilmesine imkan veriyor.
Zararlı yazılım aynı zamanda multimedya ünitesi hakkında bilgi toplayabiliyor. Ele geçirilen veriler arasında ekran çözünürlüğü, cihaz modeli, bağlı Wi-Fi ağının kimliği ve cihazın MAC adresi bulunuyor.
Kampanyada kullanılan altyapının daha önce Android TV kutularını hedef alan saldırılarla benzerlik göstermesi, saldırının BadBox botnetiyle bağlantılı MoYu Group ile ilişkili olabileceğini ortaya koydu. Botnet yönetim panelinde bulunan ve web sayfası kodlarına gömülü URL’ler gibi teknik izlerin PXYEDGE ve ProxyForU gibi residential proxy hizmetleriyle bağlantılı internet sitelerindeki unsurlarla da örtüştüğü belirlendi.
BadBox, Android TV kutuları, akıllı telefonlar ve tabletler gibi cihazların ele geçirilmesiyle oluşturulan geniş çaplı bir botnet olarak biliniyor. Bazı vakalarda zararlı yazılım cihazlara üretim veya tedarik zinciri aşamasında yerleştirilebiliyor.
Ele geçirilen cihazlardaki gizli arka kapılar reklam sahtekarlığında ve veri sızdırmada kullanılabiliyor. Enfekte cihazların bağlı bulunduğu ev veya iş ağlarının yasa dışı proxy trafiğini aktaran düğümlere dönüştürülmesi de BadBox altyapısında kullanılan yöntemler arasında bulunuyor.
BadBox ile bağlantılı saldırılarda daha önce üretim aşamasında yerleştirilen arka kapılar ve güvenliği ihlal edilmiş IPTV uygulamaları gibi farklı dağıtım yöntemleri görülmüştü. Yeni kampanyada ise meşru bir sistem uygulamasının yazılım güncelleme işlevi doğrudan zararlı yazılım dağıtımı için kullanıldı.
Araç multimedya ünitelerinin hedef alınmasıyla birlikte Android zararlı yazılımlarının etki alanı otomotiv sistemlerine de taşındı. Tespit edilen kampanya, doğrudan araç içi multimedya sistemlerine göre hazırlanmış bir bulaşma zinciri kullanan ilk belgelenmiş saldırı olarak kayıtlara geçti.
