Kaspersky, Android tabanlı araç içi multimedya sistemlerini hedef alan ve reklam sahtekarlığı ile diğer kötü amaçlı faaliyetler için zararlı yazılımlar yükleyen yeni bir siber saldırı kampanyası tespit etti.

Şirketten yapılan açıklamaya göre, gizli çalışan ve sisteme farklı aşamalarda zararlı yazılımlar yükleyen yapı, doğrudan araç sistemleri için tasarlanan bir bulaşma zinciri üzerinden multimedya ünitelerini hedef alıyor.

Araç multimedya ünitelerini bu yöntemle hedef alan belgelenmiş ilk vaka olan saldırının BadBox botnetiyle bağlantılı tehdit aktörü MoYu Group ile ilişkili olabileceğini değerlendiriliyor.

Fabrikada monte edilebilen veya eski model araçlara sonradan eklenebilen multimedya sistemlerinde üreticilerin arayüzleri özelleştirmek ve temel sistem bileşenlerini eklemek amacıyla Android işletim sistemini tercih edebilmesi, standart Android uygulamalarının yanı sıra bu işletim sistemini hedef alan zararlı yazılımların da söz konusu cihazlarda çalışabilmesine imkan tanıyor.

Bu sistemlerin genellikle SIM kart yuvası ile navigasyon ve yazılım güncellemeleri için sürekli internet bağlantısına sahip olması da cihazları siber saldırganlar açısından hedef haline getirebiliyor.

Güncelleme mekanizması üzerinden dağıtıldı

Tespit edilen zararlı yazılımın, DoFun tarafından desteklenen Android tabanlı çeşitli multimedya ünitesi modellerinin ürün yazılımındaki güncelleme mekanizmaları üzerinden dağıtıldığı belirlendi.

Bulaşma zinciri, normal koşullarda analiz verilerini toplamak ve multimedya ünitesinin yazılımını güncellemek için kullanılan "TWCore" isimli meşru sistem uygulaması üzerinden başlıyor.

Üreticinin sunucusundan hangi uygulamaların yüklenmesi veya güncellenmesi gerektiğine ilişkin talimatları alan TWCore'un iletişim kanalını kötüye kullanan saldırganlar, "JarService" adlı yükleyici aracılığıyla daha önce bilinmeyen zararlı yazılımları araç ünitelerine iletiyor.

Tespitten kaçınmak amacıyla çok aşamalı olarak kurgulanan süreçte zararlı yazılım, standart kullanıcı uygulaması gibi sisteme yükleniyor. Kullanıcı arayüzü bulunmayan yazılım, arka planda fark edilmeden çalışabiliyor.

Kaspersky analistleri, saldırganların istenmeyen reklamlar gösterme, reklam sahtekarlığı gerçekleştirme ve ek zararlı modüller indirme yeteneğine sahip dokuz farklı komut kullandığını tespit etti.

Zararlı yazılımın ayrıca ekran çözünürlüğü ve cihaz modelinin yanı sıra bağlı Wi-Fi ağının kimliği ile cihazın MAC adresi gibi cihaz ve ağ bilgilerini elde ettiği belirlendi.

BadBox botnetiyle bağlantı

Kaspersky araştırmacıları, kampanyayı daha önce TV alıcılarını hedef alan saldırılarla karşılaştırarak BadBox botnetiyle ilişkili MoYu Group ile bağlantılı teknik izlere ulaştı.

Botnetin yönetim panelinde belirlenen ve internet sayfalarının kodlarına gömülen URL'ler gibi bazı teknik izlerin, PXYEDGE ve ProxyForU gibi konut tipi vekil sunucu hizmetleri sunan internet sitelerindeki unsurlarla örtüştüğü belirlendi.

BadBox, Android TV kutuları, akıllı telefonlar ve tabletler gibi üretim aşamasında zararlı yazılımla enfekte edilmiş cihazlardan oluşan geniş ölçekli bir botnet olarak biliniyor. Saldırganlar cihazlardaki gizli arka kapıları reklam sahtekarlığı, veri sızdırma ve ev ağlarını yasa dışı vekil sunucu trafiğinin aktarılmasında kullanabiliyor.

Kaspersky Güvenlik Araştırmacısı Dmitry Kalinin, BadBox botnetinin çökertilmesine yönelik girişimlere rağmen yapıyla ilişkili aktörlerin farklı cihazlara sızmayı sürdürdüğünü belirtti.

Zararlı yazılımların yayılma yöntemlerinin fabrikada yerleştirilen arka kapılardan güvenliği ihlal edilmiş IPTV uygulamalarına kadar çeşitlendiğine dikkati çeken Kalinin, şu değerlendirmelerde bulundu:

"İncelediğimiz bu son vakada, meşru bir sistem uygulamasının yazılım güncelleme işlevini istismar eden çok daha gelişmiş bir dağıtım yöntemine tanık olduk. Tehdit aktörleri etki alanlarını kararlılıkla yeni platformlara genişletiyor. Bu tehdit, doğrudan araç sistemlerine göre kurgulanmış bir bulaşma zinciri üzerinden otomotiv multimedya ünitelerini hedef alan ilk zararlı yazılım olma özelliği taşıyor. Yaşananlar, modern otomotiv platformlarının zararlı yazılımlara karşı kapsamlı ve güçlü bir korumaya acilen ihtiyaç duyduğunu net bir biçimde gösteren ciddi bir uyarıdır."