Los investigadores de Kaspersky descubrieron una cadena de infección dirigida contra unidades principales basadas en Android instaladas en automóviles, que aprovecha una aplicación de actualización legítima para distribuir malware. Según el análisis, los dispositivos infectados se incorporan a una red de nodos proxy que pueden alquilarse o utilizarse para generar ingresos, y también se explotan para realizar operaciones de fraude publicitario.
Los investigadores atribuyeron la operación al grupo MoYu, un actor de amenazas vinculado anteriormente a la red maliciosa BadBox. Afirman que este es el primer caso documentado de una cadena de infección diseñada específicamente para atacar unidades principales de automóviles, los dispositivos que normalmente gestionan las funciones de infoentretenimiento, navegación y configuración del vehículo.
¿Cómo comenzó la infección?
La operación tiene como objetivo sistemas proporcionados por DoFun, una empresa china que ofrece software, servicios en la nube y componentes de hardware para automóviles, y vende unidades principales genéricas basadas en Android. En junio, los investigadores de Kaspersky detectaron un archivo APK malicioso que se descargaba desde la aplicación TWCore, una aplicación legítima del sistema perteneciente al ecosistema de DoFun y destinada a recibir actualizaciones de los dispositivos.
TWCore recibía instrucciones a través de un servidor MQTT alojado en el dominio cardoor[.]cn. El componente oculto se denomina JarService y no ofrece ninguna interfaz al usuario. Al ejecutarse, descifra y ejecuta un cargador de segunda etapa, y después establece una conexión con un servidor de mando y control para descargar otra carga cifrada.
La carga final recopila información del dispositivo, incluido el modelo, la resolución de pantalla, el nombre de la red Wi-Fi y la dirección MAC, y después recibe órdenes de los operadores. Entre las funciones documentadas por los investigadores se incluyen:
- Leer valores específicos del almacenamiento SharedPreferences.
- Copiar contenido almacenado o descargado al portapapeles.
- Enviar solicitudes HTTP de tipo GET o POST y guardar partes de la respuesta.
- Abrir URL dentro de un WebView y ejecutar JavaScript definido por los atacantes.
- Descargar y ejecutar código o módulos adicionales mediante la función loadlib2, además de contar con otras dos funciones incompletas.
- Abrir recursos específicos en el navegador y comprobar la accesibilidad de hosts mediante un ping ICMP.
¿Qué hace el dispositivo infectado?
Kaspersky detectó la carga de un módulo reverse proxy denominado zhima, que convierte la unidad principal en un nodo de una red proxy. Los investigadores también detectaron solicitudes web relacionadas con actividad de fraude mediante clics publicitarios. Según los resultados publicados, el malware no interfiere con la conducción ni con los sistemas críticos de control del automóvil, y parece que su objetivo principal es monetizar la conexión a Internet del dispositivo en lugar de asumir el control directo del vehículo.
¿Por qué es importante esta noticia?
La importancia del incidente radica en la expansión del modelo de las redes de dispositivos maliciosos a un componente instalado dentro del automóvil, utilizando una aplicación legítima del sistema durante la fase de distribución. Esto amplía el alcance de los riesgos de la cadena de suministro, que pasan de los teléfonos y los dispositivos del Internet de las cosas a las plataformas de automóviles conectados, incluso cuando el riesgo no está relacionado con el control de la conducción.
Kaspersky informó de sus hallazgos a DoFun, y la empresa china respondió que había solucionado el problema. Sin embargo, el mecanismo de intrusión inicial, incluida la forma en que el archivo malicioso llegó al sistema de actualización, no se ha esclarecido en el material disponible. BleepingComputer también dijo que había solicitado información adicional a ambas empresas y que actualizaría su informe cuando la recibiera.