بدافزار خودرو؛ حمله به سیستم‌های چندرسانه‌ای Android

بر اساس اعلام Kaspersky، این ساختار به‌صورت مخفیانه فعالیت می‌کند و در مراحل مختلف، بدافزارهای گوناگونی را روی سیستم نصب می‌کند. این حمله می‌تواند با بازیگران مرتبط با گروه MoYu Group که با بات‌نت BadBox ارتباط دارد، مرتبط باشد.

اولین مورد مستند از هدف قرار دادن سیستم چندرسانه‌ای خودرو

این حمله، نخستین مورد مستندی است که در آن واحدهای چندرسانه‌ای خودرو با چنین روشی هدف قرار گرفته‌اند.

سیستم‌های چندرسانه‌ای خودرو می‌توانند در کارخانه نصب شوند یا برای خودروهای قدیمی‌تر به‌صورت جداگانه مورد استفاده قرار گیرند. تولیدکنندگان این سیستم‌ها ممکن است برای شخصی‌سازی رابط کاربری و افزودن اجزای اصلی سیستم، از سیستم‌عامل Android استفاده کنند.

استفاده از Android باعث می‌شود علاوه بر برنامه‌های استاندارد این سیستم‌عامل، بدافزارهایی که Android را هدف قرار می‌دهند نیز بتوانند روی این دستگاه‌ها اجرا شوند.

این سیستم‌ها معمولاً به درگاه سیم‌کارت مجهز هستند و برای مسیریابی و دریافت به‌روزرسانی‌های نرم‌افزاری، اتصال دائمی به اینترنت دارند. همین ویژگی‌ها می‌توانند این دستگاه‌ها را به اهدافی برای مهاجمان سایبری تبدیل کنند.

بدافزار خودرو از طریق سازوکار به‌روزرسانی توزیع شد

مشخص شده است که بدافزار شناسایی‌شده از طریق سازوکارهای به‌روزرسانی موجود در Firmware چند مدل مختلف از واحدهای چندرسانه‌ای مبتنی بر Android که توسط DoFun پشتیبانی می‌شوند، توزیع شده است.

زنجیره نفوذ با یک برنامه سیستمی قانونی به نام TWCore آغاز می‌شود. این برنامه در شرایط عادی برای جمع‌آوری داده‌های تحلیلی و به‌روزرسانی نرم‌افزار واحد چندرسانه‌ای مورد استفاده قرار می‌گیرد.

TWCore دستورالعمل مربوط به برنامه‌هایی را که باید از سرور تولیدکننده نصب یا به‌روزرسانی شوند دریافت می‌کند. مهاجمان با سوءاستفاده از کانال ارتباطی TWCore، از یک Loader با نام JarService برای ارسال بدافزارهای پیش‌تر ناشناخته به واحدهای خودرو استفاده کردند.

بدافزار چگونه از شناسایی فرار می‌کند؟

این فرایند برای جلوگیری از شناسایی، به‌صورت چندمرحله‌ای طراحی شده است. بدافزار مانند یک برنامه معمولی کاربر روی سیستم نصب می‌شود.

این نرم‌افزار رابط کاربری ندارد و می‌تواند در پس‌زمینه بدون جلب توجه کاربر فعالیت کند.

تحلیلگران Kaspersky شناسایی کردند که مهاجمان از ۹ فرمان متفاوت استفاده می‌کنند. این فرمان‌ها قابلیت‌های زیر را در اختیار بدافزار قرار می‌دهند:

• نمایش تبلیغات ناخواسته
• انجام کلاهبرداری تبلیغاتی
• دانلود ماژول‌های مخرب اضافی

همچنین مشخص شده است که بدافزار می‌تواند اطلاعات مربوط به دستگاه و شبکه را جمع‌آوری کند. این اطلاعات شامل موارد زیر است:

• وضوح صفحه‌نمایش
• مدل دستگاه
• شناسه شبکه Wi-Fi متصل
• آدرس MAC دستگاه

ارتباط احتمالی با بات‌نت BadBox

پژوهشگران Kaspersky با مقایسه این کمپین با حملاتی که پیش‌تر گیرنده‌های تلویزیونی را هدف قرار داده بودند، به ردپاهای فنی مرتبط با MoYu Group دست پیدا کردند. این گروه با بات‌نت BadBox ارتباط دارد.

برخی ردپاهای فنی شناسایی‌شده در پنل مدیریتی بات‌نت با عناصری موجود در وب‌سایت‌هایی که خدمات پراکسی مسکونی مانند PXYEDGE و ProxyForU ارائه می‌کنند، همپوشانی داشتند. از جمله این ردپاها می‌توان به URLهایی اشاره کرد که در کد صفحات اینترنتی قرار گرفته بودند.

BadBox چیست؟

BadBox به‌عنوان یک بات‌نت گسترده شناخته می‌شود که از دستگاه‌هایی مانند Android TV Box، گوشی‌های هوشمند و تبلت‌هایی تشکیل شده است که در مرحله تولید به بدافزار آلوده شده‌اند.

مهاجمان می‌توانند از Backdoorهای مخفی موجود در این دستگاه‌ها برای اهداف مختلف استفاده کنند. این اهداف شامل موارد زیر است:

• کلاهبرداری تبلیغاتی
• نشت داده‌ها
• استفاده از شبکه‌های خانگی برای انتقال ترافیک غیرقانونی پراکسی

هشدار Kaspersky درباره گسترش تهدید

Dmitry Kalinin، پژوهشگر امنیتی Kaspersky، اعلام کرد که با وجود تلاش‌ها برای از کار انداختن بات‌نت BadBox، بازیگران مرتبط با این ساختار همچنان به نفوذ به دستگاه‌های مختلف ادامه می‌دهند.

Kalinin همچنین توجه داد که روش‌های انتشار بدافزارها متنوع‌تر شده‌اند؛ از Backdoorهایی که در کارخانه روی دستگاه‌ها قرار می‌گیرند تا برنامه‌های IPTV که امنیت آن‌ها به خطر افتاده است.

«در این مورد اخیر که بررسی کردیم، شاهد یک روش توزیع بسیار پیشرفته‌تر بودیم که از قابلیت به‌روزرسانی نرم‌افزار یک برنامه سیستمی قانونی سوءاستفاده می‌کند. بازیگران تهدید به‌طور پیوسته دامنه فعالیت خود را به پلتفرم‌های جدید گسترش می‌دهند.»

«این تهدید، نخستین بدافزاری است که با استفاده از یک زنجیره نفوذ طراحی‌شده به‌طور مستقیم برای سیستم‌های خودرو، واحدهای چندرسانه‌ای خودرو را هدف قرار می‌دهد.»

«اتفاقات اخیر به‌وضوح یک هشدار جدی است که نشان می‌دهد پلتفرم‌های مدرن خودرو به محافظتی جامع و قدرتمند در برابر بدافزارها نیاز فوری دارند.»

چرا سیستم‌های چندرسانه‌ای خودرو به هدف مهاجمان تبدیل شده‌اند؟

ترکیب سیستم‌عامل Android، اتصال دائمی به اینترنت، وجود سیم‌کارت و قابلیت دریافت به‌روزرسانی‌های نرم‌افزاری باعث شده است واحدهای چندرسانه‌ای خودرو نیز در معرض تهدیدهای سایبری قرار بگیرند.

در این کمپین، مهاجمان از یک برنامه سیستمی قانونی و سازوکار به‌روزرسانی آن سوءاستفاده کرده‌اند تا بدافزار را بدون جلب توجه کاربر روی سیستم نصب کنند.

سؤالات متداول درباره بدافزار خودرو

آیا بدافزار جدید مستقیماً سیستم‌های خودرو را هدف گرفته است؟

بله. طبق یافته‌های Kaspersky، این تهدید از یک زنجیره نفوذ طراحی‌شده برای سیستم‌های خودرو استفاده می‌کند و واحدهای چندرسانه‌ای خودرو را هدف قرار می‌دهد.

بدافزار چگونه روی سیستم چندرسانه‌ای نصب می‌شود؟

مهاجمان از کانال ارتباطی برنامه سیستمی TWCore سوءاستفاده کرده و با استفاده از Loader موسوم به JarService، بدافزار را به واحد چندرسانه‌ای منتقل می‌کنند.

این بدافزار چه اطلاعاتی را جمع‌آوری می‌کند؟

بدافزار می‌تواند اطلاعاتی مانند وضوح صفحه‌نمایش، مدل دستگاه، شناسه شبکه Wi-Fi متصل و آدرس MAC دستگاه را به دست آورد.

آیا این کمپین با BadBox ارتباط دارد؟

Kaspersky به ردپاهای فنی دست یافته است که نشان می‌دهد این کمپین ممکن است با MoYu Group، گروه مرتبط با بات‌نت BadBox، ارتباط داشته باشد.

بدافزار چه فعالیت‌هایی انجام می‌دهد؟

طبق یافته‌های Kaspersky، بدافزار می‌تواند تبلیغات ناخواسته نمایش دهد، کلاهبرداری تبلیغاتی انجام دهد و ماژول‌های مخرب اضافی را دانلود کند.

جمع‌بندی

این کمپین نشان می‌دهد بدافزار خودرو دیگر فقط یک تهدید فرضی برای سیستم‌های دیجیتال خودرو نیست. بر اساس یافته‌های Kaspersky، مهاجمان از یک زنجیره نفوذ اختصاصی برای هدف قرار دادن واحدهای چندرسانه‌ای Android استفاده کرده‌اند و حتی سازوکار قانونی به‌روزرسانی نرم‌افزار را به بخشی از این فرایند تبدیل کرده‌اند.

ارتباط احتمالی این کمپین با MoYu Group و BadBox نیز نشان می‌دهد بازیگران مرتبط با این زیرساخت، با وجود تلاش‌ها برای مقابله با آن، همچنان در حال گسترش فعالیت خود به دستگاه‌ها و پلتفرم‌های جدید هستند.

اگر از سیستم‌های چندرسانه‌ای Android در خودرو استفاده می‌کنید، توجه به امنیت نرم‌افزار و سازوکارهای به‌روزرسانی آن اهمیت بیشتری از گذشته پیدا کرده است.