ハッカーがAndroid車載システムに感染し、プロキシボットネットを構築

新たに発見されたマルウェアがAndroidベースの車載システムに感染し、これらの機器をボットネットの一部に変えていると、研究者らが金曜日に公開したレポートで警告しました。

このマルウェアは、中国の自動車向けソフトウェア・ハードウェアプロバイダーであるDoFun製のヘッドユニットで発見されたと、ロシアのサイバーセキュリティ企業Kasperskyが述べています。ヘッドユニットとは、ナビゲーション、音楽、Bluetoothといった機能を制御する、車に組み込まれたコンピューターおよび画面のことです。

Kasperskyによれば、これはこの種の機器を狙って特別に設計された攻撃により、車載ヘッドユニットがマルウェアに感染した初めて確認された事例だといいます。こうしたシステムに対するこれまでの攻撃は、通常、車両への物理的アクセスや、オペレーティングシステムおよびその他のコンポーネントの脆弱性に依存していました。

「我々はこの配布の仕組みについてベンダーに通知し、ベンダー側はその後、セキュリティ問題を修正したと報告してきました」と研究者らは付け加えています。

Kasperskyは、感染経路をTWCoreにまでたどりました。TWCoreは、DoFunのデバイスにインストールされている正規のシステムアプリケーションで、分析データの収集とソフトウェアアップデートの処理を担っています。TWCoreは新しいAndroidアプリケーションのダウンロードとインストールも行うことができます。

レポートによると、攻撃者はこの機能を悪用し、JarServiceと呼ばれる悪意あるアプリを、ドライバーがリンクをクリックしたり、悪意あるウェブサイトを訪れたり、何かを自らインストールしたりする必要なく、対象機器に押し込んでいました。

JarServiceには目に見えるユーザーインターフェースがなく、追加の悪意あるコードをダウンロードする役割を担っており、ドライバーが自分の機器が侵害されていることに気づきにくくなっています。

このマルウェアは広告を表示したり、不正な広告クリックを生成したりすることができますが、Kasperskyによれば、その最終的な目的はボットネットの拡大にあるとみられています。ボットネットとは、犯罪者がサイバー攻撃や詐欺、トラフィックのルーティングにリモートで利用できる、感染したコンピューターやその他のインターネット接続機器のネットワークのことです。

研究者らが確認したマルウェアモジュールの一つは、感染したヘッドユニットをリバースプロキシに変えるものです。これにより、他人のインターネットトラフィックを感染機器経由でルーティングできるようになり、その活動があたかも車のインターネット接続から発生しているように見せかけることができます。

Kasperskyは高い確度で、この攻撃キャンペーンをMoYu Groupという脅威アクターによるものだと断定しています。MoYu Groupは、これまでにAndroidスマートフォン、タブレット、ストリーミングデバイス、その他のインターネット接続製品を侵害してきたBadBoxマルウェア攻撃に関連する組織です。

「サイバーセキュリティ専門家や法執行機関がBadBoxボットネットの停止に取り組んできたにもかかわらず、これに関連する個々の攻撃者は悪意ある活動を続けており、世界中で機器への感染を広げています」とKasperskyの研究者らは述べています。

BadBoxは、これまでにも消費者の手に渡る前のAndroid機器にインストールされたマルウェアとの関連が指摘されてきました。2023年、サイバーセキュリティ企業のHUMAN Securityは、少なくとも1社の中国メーカー製のAndroidスマートフォン、接続型テレビボックス、タブレットのうち、7万台を超える機器がこの攻撃に関連するマルウェアを仕込まれた状態で出荷されていたことを発見したと発表しました。

2024年12月、ドイツ当局は、感染機器とハッカーのコマンド・アンド・コントロール基盤との通信を遮断することで、当初のBadBoxボットネットを停止させました。しかしハッカー側はすぐに、更新版のボットネットを引っさげて再び活動を再開しました。

FBIもまた昨年、BadBox 2.0がテレビストリーミングボックス、デジタルプロジェクター、デジタルフォトフレーム、アフターマーケットの車載インフォテインメントシステムなど、モノのインターネット(IoT)機器を標的にしていると警告していました。