Malver je pronađen na Android multimedijalnim jedinicama kineskog proizvođača DoFun. Prema istraživačima, ovo je prvi dokumentovani slučaj malvera koji se na multimedijalni sistem u automobilu instalira kroz lanac infekcije posebno osmišljen za tu vrstu uređaja. Raniji napadi uglavnom su zahtijevali fizički pristup vozilu ili iskorištavanje ranjivosti operativnog sistema i njegovih komponenti.
Napad počinje zloupotrebom aplikacije TWCore, legitimne sistemske aplikacije instalirane na DoFun uređajima, koja prikuplja analitičke podatke i služi za ažuriranje softvera. TWCore ima mogućnost da preuzima i instalira Android aplikacije koje prethodno nisu bile prisutne na uređaju.
Napadači su tu funkciju iskoristili da na uređaje instaliraju malicioznu aplikaciju JarService. Za infekciju nije potrebna nikakva akcija vozača – korisnik ne mora da otvori link, posjeti maliciozni sajt niti sam instalira aplikaciju.
JarService nema korisnički interfejs, pa vozač nema vidljiv znak da je uređaj kompromitovan. Aplikacija služi kao početna faza višestepenog napada: dešifruje i pokreće dodatni maliciozni kod, koji zatim kontaktira server napadača i preuzima sljedeće komponente.
U završnoj fazi malver šalje podatke o uređaju, uključujući model, rezoluciju ekrana, MAC adresu i naziv Wi-Fi mreže na koju je multimedijalni sistem povezan. Istraživači su utvrdili da može da prikazuje oglase, generiše lažne klikove i preuzima i izvršava dodatni kod.
Jedan od instaliranih modula, nazvan zhima, pretvara zaraženi uređaj u reverzni proksi. To omogućava da se internet saobraćaj drugih korisnika usmjerava preko veze automobila, tako da izgleda kao da aktivnost potiče sa IP adrese vlasnika vozila. Kaspersky navodi da ovaj modul potvrđuje da je krajnji cilj napadača izgradnja proksi botneta.
Kaspersky je kampanju sa visokim stepenom pouzdanosti pripisao grupi MoYu, povezanoj sa operacijom malvera BadBox. BadBox je ranije korišten za kompromitovanje Android telefona, tableta, televizijskih uređaja i drugih proizvoda povezanih sa internetom.
Istraživači su o načinu distribucije malvera obavijestili kompaniju DoFun, koja je potom saopštila da je otklonila bezbjednosne probleme. Ovaj slučaj, međutim, pokazuje da napadači proširuju operaciju BadBox na nove vrste uređaja i da se malver sada može širiti i zloupotrebom legitimnog mehanizma za ažuriranje sistemskih aplikacija.
Saznajte sve o najvažnijim vijestima i događajima, pridružite se našoj Viber zajednici ili čitajte na Google News.