Ktoś wsadził złośliwe oprogramowanie do radia samochodowego i wynajmuje jego łącze

W piątek Kaspersky opublikował coś, czego wcześniej nie odnotowano: złośliwe oprogramowanie żyjące na androidowym ekranie wmontowanym w deskę rozdzielczą samochodu. Nie pokaz laboratoryjny ani numer konferencyjny. Prawdziwe radia samochodowe, zainfekowane w praktyce, dzwoniące do domu.

Urządzenia działają na oprogramowaniu firmy DoFun, chińskiego dostawcy, którego software siedzi w wielu ekranach montowanych na deskę rozdzielczą po zakupie auta. To oprogramowanie zawiera aplikację systemową TWCore, która obsługuje statystyki i aktualizacje. Bierze polecenia od brokera wiadomości pod adresem cardoor.cn, który mówi jej dokładnie, które pliki APK pobrać i zainstalować - i ktoś wszedł w ten kanał. To, co zeszło, to dropper o nazwie JarService, całkiem bez interfejsu, potem loader, potem moduł nazwany zhima.

zhima to odwrotne proxy. Nie rusza samochodu; Kaspersky mówi wyraźnie, że złośliwe oprogramowanie "nie ingeruje w jazdę ani w krytyczne systemy kontroli pojazdu". Robi natomiast z radia punkt wyjściowy dla cudzego ruchu internetowego, a obok tego oszustwa na kliknięciach niewidocznych reklam. Ktoś kupuje ten ruch jako "proxy domowe", a wychodzi on z twojego samochodu. Ten sam moduł zhima widziano już wcześniej na tanich androidowych przystawkach telewizyjnych, dostarczany przez aplikacje IPTV, a Kaspersky łączy całą operację z grupą MoYu stojącą za botnetem BADBOX. Infekcję wykryto w czerwcu; DoFun poprawił od tego czasu sposób dystrybucji tych aktualizacji.

Nikt w nic nie kliknął, i to jest lekcja do zabrania. Tani androidowy gadżet w samochodzie, przystawka do streamingu za telewizorem, pudełko puszczające kanały - każde bierze firmware od tego, kto je zbudował, a ty nigdy nie widzisz tego przekazania. Jeśli masz takie urządzenie, zaktualizuj je. A skanowanie sieci w Tendvane pokaże ci przynajmniej każde urządzenie obecnie podłączone do domowego Wi-Fi, co zwykle jest dłuższą listą, niż ludzie się spodziewają.