كشفت شركة كاسبرسكي عن برمجية خبيثة جديدة لنظام أندرويد تستهدف تحديداً الشاشات الرئيسية (Head Units) في السيارات، وهي أنظمة تجمع بين وظائف الوسائط المتعددة، وتتضمن في بعض الحالات وظائف التحكم بالسيارة. حيث تستخدم هذه الحملة برمجية خبيثة على هيئة برنامج تحميل خفي متعدد المراحل، وهي أول حالة موثقة لبرمجيات خبيثة تصيب الشاشات الرئيسية في السيارة عبر سلسلة عدوى مصممة لاستهداف هذه الأنظمة على وجه الخصوص. ويرمي هذا الهجوم إلى نشر برمجيات خبيثة متعددة المراحل تتيح للمهاجمين ارتكاب عمليات احتيال إعلاني وأنشطة خبيثة أخرى. ويرجح باحثو كاسبرسكي أنّ هذا النشاط عائد إلى مجموعة MoYu، وهي جهة تهديد ترتبط بشكل وثيق بشبكة البوت نت BadBox.
الشاشات الرئيسية هي الهدف
تأتي الشاشات الرئيسية إما مثبتة في السيارات من المصنع، أو يتم تركيبها في السيارات القديمة بعد شرائها. وفي معظم الأحيان، تعتمد الشركات المصنعة لهذه الوحدات على نظام أندرويد لتخصيص واجهات المستخدم بسهولة وإضافة مكونات النظام الأساسية، لذلك يمكن لهذه الأجهزة تشغيل معظم تطبيقات أندرويد الاعتيادية، ومن ضمنها البرمجيات الخبيثة. وقلّما تخزن هذه الشاشات بيانات شخصية حساسة للمستخدمين، لكنها تحتوي عادة على فتحات مخصصة لشرائح الاتصال (SIM)، ولديها اتصال دائم بالإنترنت لأغراض الملاحة وتحديث البرامج، مما يجعلها هدفاً محتملاً للمهاجمين.
التحديثات المخترقة كناقل للإصابة
جرى نشر البرمجية الخبيثة بواسطة آليات التحديث المدمجة في البرامج الثابتة لطرازات متعددة من وحدات الشاشة الرئيسية التي تعمل بنظام أندرويد، والتي تشغلها شركة DoFun. وبادرت كاسبرسكي إلى إبلاغ الشركة المصنعة بخصوص استغلال توزيع هذه البرمجيات، وقد عولجت المشكلة وفقاً لشركة DoFun.
تبدأ سلسلة الإصابة من تطبيق نظام شرعي يدعى TWCore، وهو مخصص في الأصل لجمع بيانات التحليلات وتحديث برمجيات وحدة الشاشة الرئيسية. ويتلقى تطبيق TWCore عادةً تعليمات من خادم الشركة المصنعة لتحديد التطبيقات التي تحتاج إلى تثبيت أو تحديث على وحدة الشاشة الرئيسية. وقد استغل المهاجمون هذه القناة لإرسال برمجيات خبيثة غير معروفة سابقاً إلى وحدة الشاشة الرئيسية باستخدام أداة اسقاط تدعى JarService. واتسمت عملية الإصابة بالتعقيد وتعدد المراحل، فهي مصممة لتفادي الاكتشاف. وهكذا، تم تثبيت البرمجية الخبيثة كتطبيق مستخدم اعتيادي من دون واجهة استخدام، وكانت تنشط في الخلفية دون معرفة المستخدم.
واكتشفت كاسبرسكي أنّ المهاجمين نفذوا تسعة أوامر مختلفة يمكنها عرض إعلانات غير مرغوب بها، وتنفيذ عمليات احتيال إعلاني، وتحميل وحدات برمجية خبيثة إضافية. كما حصل المهاجمون على معلومات عن الأجهزة المخترقة مثل دقة الشاشة، وطراز الجهاز، ومعرف شبكة الإنترنت اللاسلكية (Wi-Fi)، وعنوان MAC الخاص بالجهاز.
الارتباط بمجموعة MoYu
كشفت كاسبرسكي عن صلات لهذه الحملة الخبيثة مع مجموعة MoYu، المرتبطة بشبكة البوت نت BadBox، وذلك بعد مقارنة هذه الحملة بحملات سابقة استهدفت أجهزة استقبال البث التلفزيوني. كذلك، تتشارك لوحة تحكم شبكة البوت نت هذه بعض العناصر البرمجية مع مواقع خدمات البروكسي المنزلية مثل PXYEDGE وProxyForU، ويشمل ذلك عناوين URL المضمنة في النص البرمجي لصفحات الويب. وعموماً تعرف شبكة البوت نت BadBox بأنها شبكة واسعة النطاق من الأجهزة المخترقة العاملة بنظام أندرويد -مثل أجهزة استقبال البث التلفزيوني، والهواتف، والأجهزة اللوحية- التي تأتي مصابة مسبقاً ببرمجيات خبيثة من المصنع. ويستخدم المهاجمون أدوات الباب الخلفي هذه لارتكاب عمليات احتيال إعلاني، وسرقة البيانات، وتحويل الشبكات المنزلية إلى نقاط لتمرير حركة البروكسي غير الشرعية.
يعلق على هذه المسألة ديمتري كالينين، وهو باحث أمني لدى كاسبرسكي: «على الرغم من الجهود الكبيرة التي يبذلها خبراء الأمن السيبراني ووكالات إنفاذ القانون لإغلاق شبكة البوت نت BadBox، تواصل جهات فردية مرتبطة بالشبكة أنشطتها الخبيثة، وتصيب الأجهزة في جميع أرجاء العالم. وقد أصبحت أساليب إيصال هذه البرمجيات الخبيثة شديدة التنوع؛ بدءاً من أدوات الباب الخلفي المثبتة مسبقاً في الأجهزة ووصولاً إلى تطبيقات IPTV المُخترقة. وتوصلنا في الحالة المعنية بالبحث إلى أسلوب نشر وتوزيع أكثر تطوراً يستغل وظيفة تحديث البرامج المشروعة لأحد تطبيقات النظام. وتدأب الجهات الخبيثة على الوصول إلى منصات جديدة، وقد أضحت هذه البرمجية الخبيثة أول تطبيق خبيث يستخدم لاستهداف وحدة الشاشة الرئيسية في السيارة بواسطة سلسلة إصابة مصممة تحديداً لأنظمة المركبات. ويعد ذلك جرس إنذار يؤكد بأنّ منصات السيارات الحديثة بحاجة ماسة إلى حماية قوية من البرمجيات الخبيثة.»
