"Лаборатория Касперского" обнаружила автомобильную вредоносную программу: мультимедийные системы Android от DoFun подвержены риску перехвата управления

30 августа. По мере того как автомобили становятся всё более интеллектуальными, они подвергаются всё большему риску кибератак, ранее направленным в основном на компьютеры и смартфоны.

В наши дни некоторые современные автомобили, оснащенные системой Android, сталкиваются с подобным риском. Как сообщает Autoevolution, исследователи безопасности «Лаборатории Касперского» обнаружили новое вредоносное ПО, способное проникать в автомобильные мультимедийные системы, что позволяет злоумышленникам перехватить управление устройством и развернуть другие вредоносные программы. Однако, прежде чем беспокоиться о том, подвержена ли риску мультимедийная система Android в вашем автомобиле, владельцам в первую очередь следует выяснить производителя автомобиля. По данным «Лаборатории Касперского», в настоящее время затронуты только мультимедийные системы на базе Android, работающие на программном обеспечении, разработанном китайской компанией DoFun. DoFun утверждает, что ее ПО уже работает более чем на 30 миллионах автомобилей по всему миру, и эти транспортные средства распределены не только в Китае. Следовательно, теоретически все эти автомобили могут быть подвержены риску атак с использованием данного вредоносного ПО. Как стало известно, для взлома мультимедийной системы Android, работающей на ПО DoFun, злоумышленникам сначала необходимо использовать системный сервис, установленный автопроизводителем. Изначально этот сервис предназначался исключительно для推送 обновлений программного обеспечения и установки новых приложений. Хакеры нашли способ использовать этот сервис под названием TWCore для установки вредоносного файла JarService. Как только JarService устанавливается в систему, злоумышленники могут выполнять с ней различные действия. В «Лаборатории Касперского» пояснили: «Код JarService в зашифрованном виде содержит полезную нагрузку следующего этапа, а также информацию о его версии и точке входа. Задача JarService заключается в расшифровке этих данных и запуске следующего этапа заражения — вредоносного загрузчика». Этот загрузчик подключается к командному серверу. Через этот сервер злоумышленники могут получить больше информации об инфицированном устройстве и установленном вредоносном ПО, а также использовать его для управления взломанной системой. Например, злоумышленники могут получить такие данные, как модель мультимедийной системы, разрешение экрана, беспроводная сеть, используемая для подключения к интернету, и MAC-адрес. Они также могут отправлять команды на зараженное устройство и даже удаленно открывать веб-страницы. Исследователи безопасности отмечают: «Но самое главное, он может загружать и выполнять другой вредоносный код на взломанной мультимедийной системе автомобиля». Например, злоумышленники могут сделать мультимедийную систему частью ботнета и использовать ее в качестве прокси-сервера для маршрутизации сетевого трафика через устройство этого автомобиля. Они также могут использовать зараженную систему для дальнейшего осуществления других кибератак. Эти дополнительные функции предоставляет другая полезная нагрузка под названием zhima. Специалисты «Лаборатории Касперского» выяснили, что стоящая за этим хакерская группировка может быть MoYu Group. В этой компании по информационной безопасности указали: «В ходе расследования инфраструктуры ботнета наши эксперты обнаружили связь MoYu Group с сервисами PXYEDGE и ProxyForU, которые предоставляют услуги жилых прокси». Очевидно, что после взлома мультимедийной системы автомобиля и ее включения в ботнет производительность устройства может заметно снизиться, особенно когда системные ресурсы используются для выполнения различных вредоносных действий. Первым симптомом становится заметное замедление всех операций на экране мультимедийной системы. Например, время загрузки таких приложений, как Google Maps, Waze, Spotify или YouTube Music, может значительно возрасти. Это связано с тем, что системные ресурсы устройства в фоновом режиме заняты вредоносными задачами, выполняемыми злоумышленниками. Вторая возможная проблема — заметное падение скорости интернета. При использовании онлайн-приложений, таких как YouTube Music или Spotify, пользователи могут обнаружить, что скорость сетевого подключения снизилась. Если время, необходимое этим приложениям для загрузки или скачивания песен, заметно увеличилось, вполне вероятно, что мультимедийная система уже стала частью ботнета и используется в качестве прокси-сервера для какого-либо сетевого пользователя. Однако больше всего беспокоит то, что как только злоумышленники развернут необходимое вредоносное ПО на зараженной системе, они смогут делать с устройством всё, что угодно, поскольку к этому моменту они уже получат полный контроль над ним. В «Лаборатории Касперского» объясняют: «Возможности этого вредоносного ПО не ограничиваются предоставлением прокси-функций. Оно может получать команды от злоумышленников, а также загружать и выполнять другой вредоносный код. Поэтому последствия заражения будут различаться в зависимости от того, какую полезную нагрузку решит установить на устройство оператор ботнета». Для пользователей мультимедийных систем на базе Android следует учесть несколько ключевых моментов. Во-первых, затронуты только мультимедийные системы, разработанные этой китайской компанией, и далеко не все автомобильные системы Android подвержены такому риску. Во-вторых, эти атаки могут быть успешными только тогда, когда мультимедийная система подключена к интернету. Например, если владелец подключает систему к сети через встроенный тарифный план или мобильную точку доступа. Если владелец использует систему только в автономном режиме, например, для навигации по офлайн-картам, злоумышленники не смогут взломать систему таким способом. В настоящее время производитель уже выпустил патч, устраняющий уязвимость, которую злоумышленники использовали для взлома через службу обновления системы. Поэтому, если в вашем автомобиле установлена мультимедийная система этой китайской компании, лучше всего немедленно установить последнюю версию программного обеспечения. Владельцам следует подключить систему к интернету, проверить наличие доступных обновлений ПО и установить последнюю версию, чтобы убедиться, что эта уязвимость устранена. Если система не предлагает обновления программного обеспечения, следует обратиться к производителю автомобиля за информацией о том, как установить на транспортное средство исправленную версию прошивки.