Pesquisadores da Kaspersky descobriram uma cadeia de infecção que tem como alvo unidades principais automotivas com Android e explora um aplicativo de atualização legítimo para distribuir malware. Segundo a análise, os dispositivos infectados ingressam em uma rede de nós proxy que pode ser alugada ou utilizada para gerar receita financeira, além de ser explorada para realizar fraudes publicitárias.
Os pesquisadores atribuíram a operação ao grupo MoYu, um agente de ameaça anteriormente associado à rede maliciosa BadBox. Eles afirmam que este é o primeiro caso documentado de uma cadeia de infecção projetada especificamente para atingir unidades principais automotivas — dispositivos que normalmente gerenciam funções de informação e entretenimento, navegação e configurações do veículo.
Como começou a infecção?
A operação tem como alvo sistemas fornecidos pela DoFun, uma empresa chinesa que oferece software, serviços em nuvem e componentes de hardware para automóveis, além de vender unidades principais genéricas baseadas em Android. Em junho, pesquisadores da Kaspersky identificaram um arquivo APK malicioso sendo baixado pelo aplicativo TWCore, um aplicativo de sistema legítimo do ecossistema da DoFun, destinado a receber atualizações dos dispositivos.
O TWCore recebia instruções por meio de um servidor MQTT hospedado no domínio cardoor[.]cn. O aplicativo oculto se chama JarService e não oferece uma interface ao usuário. Quando é executado, ele descriptografa e executa um carregador de segunda etapa, depois estabelece uma conexão com um servidor de comando e controle para baixar outra carga criptografada.
A carga final coleta informações sobre o dispositivo, incluindo o modelo, a resolução da tela, o nome da rede Wi-Fi e o endereço MAC, e então recebe comandos dos operadores. Entre as funções documentadas pelos pesquisadores estão:
- Leitura de valores específicos do armazenamento SharedPreferences.
- Cópia de conteúdo armazenado ou baixado para a área de transferência.
- Envio de solicitações HTTP dos tipos GET ou POST e salvamento de partes da resposta.
- Abertura de URLs dentro de uma WebView e execução de JavaScript definido pelos invasores.
- Download de código ou módulos adicionais e execução por meio da função loadlib2, com duas outras funções incompletas.
- Abertura de recursos específicos no navegador e verificação da acessibilidade de hosts por meio de ping ICMP.
O que o dispositivo infectado faz?
A Kaspersky observou o carregamento de um módulo de reverse proxy chamado zhima, que transforma a unidade principal em um nó de uma rede proxy. Os pesquisadores também identificaram solicitações web associadas a atividades de fraude de cliques em anúncios. De acordo com os resultados publicados, o malware não interfere na condução nem nos sistemas críticos de controle do veículo; seu objetivo principal parece ser monetizar a conexão do dispositivo à internet, em vez de assumir o controle direto do automóvel.
Por que esta notícia é importante?
A importância do incidente está na transferência do modelo de redes de dispositivos maliciosos para um componente instalado dentro do veículo, com dependência de um aplicativo de sistema legítimo na etapa de distribuição. Isso amplia o alcance dos riscos da cadeia de suprimentos, que passam de telefones e dispositivos de Internet das Coisas para plataformas automotivas conectadas, mesmo quando o risco não está relacionado ao controle da condução.
A Kaspersky informou à DoFun os resultados, e a empresa chinesa respondeu que corrigiu o problema. No entanto, o mecanismo inicial de comprometimento, incluindo a forma como o arquivo malicioso chegou ao ecossistema de atualização, não foi esclarecido no material disponível. A BleepingComputer também afirmou que solicitou informações adicionais às duas empresas e atualizará sua reportagem quando as receber.