Les chercheurs de Kaspersky ont découvert une chaîne d’infection ciblant les unités centrales automobiles fonctionnant sous Android et exploitant une application de mise à jour légitime pour diffuser un logiciel malveillant. Selon l’analyse, les appareils infectés rejoignent un réseau de nœuds proxy pouvant être loués ou utilisés à des fins lucratives, et sont également exploités pour mener des opérations de fraude publicitaire.
Les chercheurs ont attribué l’opération au groupe MoYu, un acteur malveillant déjà associé au réseau malveillant BadBox. Ils affirment qu’il s’agit du premier cas documenté d’une chaîne d’infection conçue spécifiquement pour cibler les unités centrales automobiles, c’est-à-dire les appareils qui gèrent généralement les fonctions d’infodivertissement, de navigation et les réglages du véhicule.
Comment l’infection a-t-elle commencé ?
L’opération cible des systèmes fournis par DoFun, une entreprise chinoise qui fournit des logiciels, des services cloud et des composants matériels automobiles, et vend des unités centrales génériques basées sur Android. En juin, les chercheurs de Kaspersky ont détecté un fichier APK malveillant téléchargé depuis l’application TWCore, une application système légitime de l’écosystème DoFun destinée à recevoir les mises à jour des appareils.
TWCore recevait ses instructions via un serveur MQTT hébergé sur le domaine cardoor[.]cn. Le composant furtif porte le nom de JarService et ne fournit aucune interface utilisateur. Lorsqu’il est lancé, il déchiffre et exécute un chargeur de deuxième étape, puis établit une connexion avec un serveur de commande et de contrôle afin de télécharger une autre charge utile chiffrée.
La charge utile finale recueille des informations sur l’appareil, notamment son modèle, la résolution de l’écran, le nom du réseau Wi-Fi et l’adresse MAC, puis reçoit des commandes des opérateurs. Les fonctionnalités documentées par les chercheurs comprennent :
- la lecture de valeurs spécifiques dans l’espace de stockage SharedPreferences ;
- la copie du contenu stocké ou téléchargé dans le presse-papiers ;
- l’envoi de requêtes HTTP de type GET ou POST et l’enregistrement de certaines parties de la réponse ;
- l’ouverture d’URL dans une WebView et l’exécution de JavaScript défini par les attaquants ;
- le téléchargement de code ou de modules supplémentaires et leur exécution via la fonction loadlib2, deux autres fonctions étant incomplètes ;
- l’ouverture de ressources spécifiques dans le navigateur et la vérification de l’accessibilité d’hôtes via un ping ICMP.
Que fait l’appareil infecté ?
Kaspersky a observé le chargement d’un module de reverse proxy nommé zhima, qui transforme l’unité centrale en nœud d’un réseau proxy. Les chercheurs ont également observé des requêtes web associées à une activité de fraude au clic publicitaire. Selon les résultats publiés, le logiciel malveillant n’interfère pas avec la conduite ni avec les systèmes critiques de contrôle du véhicule, et son objectif principal semble être de monétiser la connexion Internet de l’appareil plutôt que de prendre directement le contrôle du véhicule.
Pourquoi cette actualité est-elle importante ?
L’importance de cet incident réside dans l’extension du modèle des réseaux d’appareils malveillants à un composant présent à l’intérieur du véhicule, en s’appuyant sur une application système légitime lors de la distribution. Cela élargit la portée des risques liés à la chaîne d’approvisionnement, des téléphones et des appareils de l’Internet des objets aux plateformes automobiles connectées, même lorsque la menace ne concerne pas le contrôle de la conduite.
Kaspersky a informé DoFun de ses conclusions, et l’entreprise chinoise a répondu qu’elle avait corrigé le problème. Toutefois, le mécanisme initial de compromission, notamment la manière dont le fichier malveillant a atteint l’écosystème de mise à jour, n’a pas été établi dans les éléments disponibles. BleepingComputer a également indiqué avoir demandé des informations supplémentaires aux deux entreprises et qu’il mettrait à jour son article après les avoir reçues.