Kasperskyの研究者は、自動車のAndroid搭載ヘッドユニットを標的とし、正規のアップデートアプリを悪用してマルウェアを拡散する感染チェーンを発見しました。分析によると、感染した端末は貸し出したり金銭的利益を得るために利用したりできるプロキシノードのネットワークに組み込まれ、広告詐欺の実行にも悪用されます。
研究者は、この活動をMoYuグループによるものとしています。同グループは、以前にBadBoxマルウェアネットワークとの関連が指摘されています。研究者らによると、これは自動車のヘッドユニットを特に標的として設計された感染チェーンとして初めて記録された事例です。ヘッドユニットは通常、インフォテインメント、ナビゲーション、自動車の設定を管理する機器です。
感染はどのように始まったのか？
この活動は、自動車向けのソフトウェア、クラウドサービス、ハードウェアコンポーネントを提供し、Androidベースの汎用ヘッドユニットを販売する中国企業DoFunが提供するシステムを標的としています。6月、Kasperskyの研究者は、DoFunのエコシステムに属する正規のシステムアプリで、端末のアップデートを受信するために使われるTWCoreから悪意のあるAPKファイルがダウンロードされていることを確認しました。
TWCoreは、cardoor[.]cnドメイン上でホストされているMQTTサーバーから指示を受けていました。隠れて動作するアプリはJarServiceという名前で、ユーザーインターフェースを提供しません。起動すると、第2段階のローダーを復号して実行し、その後コマンド＆コントロールサーバーに接続して、別の暗号化されたペイロードをダウンロードします。
最終ペイロードは、端末のモデル、画面解像度、Wi-Fiネットワーク名、MACアドレスなどの情報を収集し、攻撃者からコマンドを受け取ります。研究者が確認した機能には、以下が含まれます。
- SharedPreferencesストレージから特定の値を読み取る。
- 保存またはダウンロードされたコンテンツをクリップボードにコピーする。
- GETまたはPOST方式のHTTPリクエストを送信し、レスポンスの一部を保存する。
- WebView内でURLを開き、攻撃者が指定したJavaScriptを実行する。
- 追加のコードやモジュールをダウンロードし、loadlib2機能を通じて実行する。ほかに未完成の機能が2つ存在する。
- 特定のリソースをブラウザーで開き、ICMP pingによってホストへの到達可能性を確認する。
感染した端末は何をするのか？
Kasperskyは、ヘッドユニットをプロキシネットワーク内のノードに変える、zhimaという名称のリバースプロキシモジュールが読み込まれていることを確認しました。研究者は、広告クリック詐欺の活動に関連するウェブリクエストも確認しました。公開された調査結果によると、マルウェアは自動車の運転や重要な制御システムには介入しておらず、主な目的は車両を直接制御することではなく、端末のインターネット接続から収益を得ることだとみられます。
なぜこのニュースが重要なのか？
この事案の重要性は、マルウェアネットワークのモデルが自動車内部のコンポーネントへ移行し、配布段階で正規のシステムアプリに依存している点にあります。これは、運転制御に関係する脅威でない場合でも、サプライチェーンリスクの範囲をスマートフォンやIoT機器からコネクテッドカーのプラットフォームへと広げます。
Kasperskyは調査結果をDoFunに報告し、中国企業は問題を修正したと回答しました。しかし、悪意のあるファイルがどのようにアップデートシステムへ到達したのかを含め、初期侵入の手法は、入手可能な情報では確定していません。BleepingComputerは、両社に追加情報を求めており、回答を受け取り次第、報告を更新すると述べました。