Jemand hat Schadsoftware in ein Autoradio gesetzt, und sie vermietet die Verbindung
Kaspersky hat am Freitag etwas veröffentlicht, das vorher nie festgehalten worden war: Schadsoftware auf dem Android-Bildschirm, der im Armaturenbrett eines Autos steckt. Keine Laborvorführung, kein Konferenzkunststück. Echte Autoradios, im Feld infiziert, die nach Hause telefonieren.
Die Geräte laufen mit Firmware von DoFun, einem chinesischen Anbieter, dessen Software in vielen nachgerüsteten Armaturenbrett-Bildschirmen steckt. Zu dieser Firmware gehört eine Systemanwendung namens TWCore, die Statistiken und Software-Updates abwickelt. Sie holt ihre Anweisungen bei einem Nachrichten-Broker unter cardoor.cn, der ihr genau sagt, welche APK-Dateien sie herunterladen und installieren soll - und jemand kam in diesen Kanal hinein. Was heruntergeladen wurde, war ein Dropper namens JarService ganz ohne Oberfläche, dann ein Loader, dann ein Modul namens zhima.
zhima ist ein Reverse-Proxy. Es rührt das Auto nicht an; Kaspersky sagt ausdrücklich, die Schadsoftware "greift nicht in das Fahren oder in kritische Steuerungssysteme des Fahrzeugs ein". Was sie tut, ist das Autoradio in einen Ausgangspunkt für den Internetverkehr anderer Leute zu verwandeln, begleitet von Klickbetrug an unsichtbarer Werbung. Irgendwer kauft diesen Verkehr als "Residential Proxy", und er kommt aus Ihrem Auto heraus. Dasselbe zhima-Modul wurde schon vorher auf billigen Android-TV-Boxen gesehen, ausgeliefert über IPTV-Apps, und Kaspersky verbindet die Operation mit der MoYu-Gruppe hinter dem BADBOX-Botnetz. Gefunden wurde die Infektion im Juni; DoFun hat die Verteilung dieser Updates inzwischen korrigiert.
Niemand hat irgendwo geklickt, und das ist die Lehre daraus. Das billige Android-Gerät im Auto, der Streaming-Stick hinter dem Fernseher, die Box, die Sender abspielt - jedes bekommt seine Firmware von dem, der es gebaut hat, und Sie sehen die Übergabe nie. Wenn Sie so ein Gerät besitzen, aktualisieren Sie es. Und der Netzwerk-Scan von Tendvane zeigt Ihnen zumindest jedes Gerät, das gerade in Ihrem heimischen WLAN hängt - meist eine längere Liste, als man erwartet.