Kaspersky-Forscher entdeckten eine Infektionskette, die auf Android-basierte Headunits in Autos abzielt und eine legitime Update-Anwendung zur Verbreitung von Malware missbraucht. Der Analyse zufolge werden infizierte Geräte Teil eines Netzwerks von Proxy-Knoten, die vermietet oder zur Erzielung finanzieller Einnahmen genutzt werden können. Außerdem werden sie für Werbebetrug missbraucht.
Die Forscher ordneten die Operation der MoYu-Gruppe zu, einem Bedrohungsakteur, der zuvor mit dem Schadnetzwerk BadBox in Verbindung gebracht wurde. Ihren Angaben zufolge handelt es sich um den ersten dokumentierten Fall einer Infektionskette, die speziell auf Auto-Headunits abzielt – Geräte, die üblicherweise die Funktionen für Infotainment, Navigation und Fahrzeugeinstellungen steuern.
Wie begann die Infektion?
Die Operation zielt auf Systeme von DoFun ab, einem chinesischen Unternehmen, das Software, Cloud-Dienste und Hardwarekomponenten für Autos anbietet und universelle, auf Android basierende Headunits verkauft. Im Juni entdeckten Kaspersky-Forscher eine schädliche APK-Datei, die von der Anwendung TWCore heruntergeladen wurde – einer legitimen Systemanwendung aus dem DoFun-Ökosystem, die für den Empfang von Geräteaktualisierungen vorgesehen ist.
TWCore erhielt Anweisungen über einen MQTT-Server, der unter der Domain cardoor[.]cn gehostet wurde. Die im Hintergrund ausgeführte Anwendung trägt den Namen JarService und bietet keine Benutzeroberfläche. Beim Start entschlüsselt und führt sie einen Loader der zweiten Stufe aus. Anschließend stellt sie eine Verbindung zu einem Command-and-Control-Server her, um eine weitere verschlüsselte Payload herunterzuladen.
Die endgültige Payload sammelt Informationen über das Gerät, darunter Modell, Bildschirmauflösung, Name des WLAN-Netzwerks und MAC-Adresse, und empfängt anschließend Befehle von den Betreibern. Zu den von den Forschern dokumentierten Funktionen gehören:
- Lesen bestimmter Werte aus dem SharedPreferences-Speicher.
- Kopieren gespeicherter oder heruntergeladener Inhalte in die Zwischenablage.
- Senden von HTTP-Anfragen des Typs GET oder POST und Speichern von Teilen der Antwort.
- Öffnen von URLs in einer WebView und Ausführen von von den Angreifern festgelegtem JavaScript.
- Herunterladen und Ausführen zusätzlicher Codes oder Module über die Funktion loadlib2; außerdem existieren zwei weitere unvollständige Funktionen.
- Öffnen bestimmter Ressourcen im Browser und Prüfen der Erreichbarkeit von Hosts per ICMP-Ping.
Was macht das infizierte Gerät?
Kaspersky beobachtete das Laden eines Reverse-Proxy-Moduls namens zhima, das die Headunit in einen Knoten innerhalb eines Proxy-Netzwerks verwandelt. Die Forscher stellten außerdem Webanfragen fest, die mit Aktivitäten im Zusammenhang mit Klickbetrug bei Werbung verbunden waren. Den veröffentlichten Ergebnissen zufolge greift die Malware weder in die Fahrfunktionen noch in die kritischen Steuerungssysteme des Autos ein. Ihr Hauptziel scheint vielmehr darin zu bestehen, die Internetverbindung des Geräts zu monetarisieren, statt das Fahrzeug direkt zu kontrollieren.
Warum ist diese Nachricht wichtig?
Die Bedeutung des Vorfalls liegt darin, dass das Modell schädlicher Gerätenetzwerke auf eine im Auto vorhandene Komponente übertragen wird, wobei in der Verteilungsphase eine legitime Systemanwendung genutzt wird. Dadurch erweitert sich das Spektrum der Risiken in der Lieferkette von Smartphones und Geräten des Internets der Dinge auf vernetzte Fahrzeugplattformen – selbst wenn die Gefahr nicht mit der Steuerung des Fahrzeugs zusammenhängt.
Kaspersky informierte DoFun über die Ergebnisse. Das chinesische Unternehmen erklärte daraufhin, es habe das Problem behoben. Der ursprüngliche Infektionsweg, einschließlich der Frage, wie die schädliche Datei in das Update-Ökosystem gelangte, ist anhand des verfügbaren Materials jedoch nicht geklärt. BleepingComputer erklärte außerdem, bei beiden Unternehmen weitere Informationen angefordert zu haben, und werde seinen Bericht aktualisieren, sobald diese vorliegen.