Android搭載車載ヘッドユニットの内蔵アップデーター経由で拡散する新種のAndroidマルウェアが発見されました。感染した端末を広告詐欺ツールおよびプロキシボットネットのノードに変えてしまうもので、Kasperskyが明らかにしました。
研究者らによると、これはその種のデバイスに特有の感染経路を持つマルウェアが車載ヘッドユニット上で見つかった、初めて文書化された事例だといいます。
「ヘッドユニットにはSIMカードスロットが搭載されていることが多く、インターネットに接続してナビゲーションやソフトウェア更新といった機能を利用できる点に注目する必要があります。ヘッドユニット自体は通常、攻撃者にとって価値のあるものを保持していないため、『古典的な』Androidマルウェアを使った攻撃シナリオとして考えられるのは、端末に感染させてボットネットに組み込むという手口です。これはIoTデバイスへの攻撃と似ています」と研究者らは説明しています。
Kasperskyは高い確度で、この攻撃活動をBADBOXボットネットに関連する攻撃者グループMoYu Groupによるものと断定しています。
BADBOXは、通常のハードウェアサプライチェーンを通じて販売される民生機器にファームウェアのバックドアがあらかじめ仕込まれている、世界規模のネットワークです。HUMAN Securityの研究者が2023年に初めてこれを特定しました。
影響を受けた端末は、アフターマーケット向け車載ヘッドユニット向けにインフォテインメントソフトウェアを提供する中国企業DoFunのファームウェアを動作させています。
侵入口となったのはTWCoreという正規のシステムアプリで、その役割はアナリティクス情報を収集し、ヘッドユニットにソフトウェア更新をプッシュ配信することです。TWCoreはcardoor[.]cnというドメインでホストされているメッセージブローカーから指示を受け取り、どのアプリファイルをダウンロード・インストールすべきかを教えられます。
「注目すべきは、この指示を記述するオブジェクトにinstallNotExistsというフィールドが含まれている点です。これはtrueまたはfalseに設定できるブール型フラグで、このフラグによりTWCoreは、もともと端末に存在していなかったアプリもインストールできるようになります」と研究者らは指摘しています。
3段階構成の一つのボットネット
この感染は複数の層で進行します。第一段階は、JarServiceと呼ばれる小型の裸のドロッパーです。これには次の段階への解凍と引き渡し以外の役割はありません。
ヘッドユニット感染の仕組み(出典:Kaspersky)
第二段階はローダーです。感染端末に関する基本情報をリモートサーバーに送信し、その返答として次のペイロードのダウンロードリンクを受け取ります。このリンクにはバージョン番号が含まれており、研究者らが別の番号を試したところ、何が返ってくるかを確認できました。その結果、ペイロードには7種類の異なるバリアントが存在することが判明し、この攻撃活動がある程度の期間にわたって運用・更新され続けてきたことをうかがわせます。
第三段階は90分ごとにリモートサーバーへ通信し、端末の画面解像度、モデル、接続中のWi-Fiネットワーク名、MACアドレスを送信したうえで、攻撃者のサーバーからのコマンドを待ち受けます。
Kasperskyは、このマルウェアに組み込まれた9種類の異なるコマンドを確認しています。
- return — 端末に保存された値を取得
- copy — クリップボードの内容を設定(リンクから追加データを取り込む場合もあり)
- http — サーバーへリクエストを送信し、レスポンスを保存可能
- web — 非表示のブラウザビューでリンクを開き、その中でJavaScriptを実行
- loadlib — 報告時点では未完成
- loadlib2 — 追加のコードをダウンロードして実行
- loadlib3 — 報告時点では未完成
- deeplink — スマートフォンのブラウザでリンクを開く
- traceroute — 対象アドレスへの到達可能性を確認
実際に使用が確認されたのはloadlib2とhttpのみで、loadlib2はリバースプロキシモジュールであるzhimaを取得していました。Nokia社のDeepfieldチームの研究者らも、ほぼ同時期に、車ではなくテレビのセットトップボックス上で独自にこの同じモジュールを発見しています。
「これにより、攻撃者の最終的な目的がプロキシボットネットの構築であることが裏付けられます」
Kasperskyが責任ある方法で脆弱性を開示した後、DoFunはこの問題を修正したと述べています。
「今回検証した事例は、システムアプリケーションの正規のアップデート機能を通じた配布という、さらに高度な配信手法を示しています。攻撃者は新たなプラットフォームへの進出も積極的に進めています。このマルウェアはヘッドユニットを標的とした初めて確認された悪意あるアプリであり、これらのプラットフォームもマルウェアへの対策が今後必要になることを意味します」とKasperskyは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/android-malware-car-head-unit-badbox/
