コネクテッドカーのヘッドユニットもハッカーの標的に――車載システムが危険にさらされる恐れがあると専門家が警告

車のヘッドユニットが、コネクテッドビークル向けシステムを狙うAndroidマルウェアキャンペーンの拡大の波に巻き込まれつつあると専門家が警告しています。

新たに発見されたこのマルウェアキャンペーンは、マルチメディア機能を備え、一部モデルでは車両制御も担うこれらのヘッドユニットに直接感染します。

カスペルスキーによると、このキャンペーンはこの種の感染チェーン向けに特別に作られたマルウェアとしては初めて文書化された事例だということです。

侵害されたアップデート経路を通じて車両に直接送り込まれるマルウェア

研究者たちは、この攻撃活動はおそらく、悪名高いBadBoxボットネットと密接に関係する脅威アクター「MoYu Group」に起因するとみています。この攻撃は、DoFun製Androidベースヘッドユニットのファームウェアに直接組み込まれた正規のアップデート機構を通じて拡散していました。

この感染チェーンの出発点となるのは、通常はヘッドユニットの分析データ収集とリモートでのソフトウェアアップデートを担う正規のシステムアプリ「TWCore」です。

攻撃者は「JarService」と呼ばれる専用のドロッパーを使ってこの信頼された更新経路を乗っ取り、これまで知られていなかったマルウェアを影響を受ける多数のデバイスに直接送り込みました。

いったんインストールに成功すると、このマルウェアは表向きのユーザーインターフェースを一切表示することなく、通常のバックグラウンドアプリケーションとして静かに動作していました。

カスペルスキーは、このマルウェアに組み込まれた9種類の異なるリモートコマンドを特定しました。これらは望まれない広告の表示や、さまざまな形態の広告詐欺の実行が可能です。

このマルウェアはまた、ディスプレイの解像度、デバイスモデル、Wi-Fiネットワーク識別子、デバイスのMACアドレスなど、機密性の高いデバイス情報も積極的に収集していました。

調査担当者は、このキャンペーンと、同じ広範な脅威グループが関与した過去のテレビ用セットトップボックスへの攻撃との間に明確な技術的関連性を確認しました。

研究チームによると、このボットネットの管理パネルには、レジデンシャルプロキシサービスのウェブサイトであるPXYEDGEおよびProxyForUと共通のURLが埋め込まれているとのことです。

BadBox自体は、ストリーミングボックスやスマートフォン、タブレットなど、工場出荷時点ですでに感染しているAndroidデバイスからなる、大規模かつ広範囲に及ぶハイジャック済みネットワークとして運用されています。

カスペルスキーは、自社の正規ソフトウェア配布経路とアップデートインフラがこのように悪用され続けていることについて、すでにベンダーへ正式に通知済みです。

DoFunの発表によれば、この根本的な問題は、現在フィールドに展開されている影響を受けたデバイスの大半においてすでに解決済みだということです。

車のヘッドユニットは、メーカーによって工場出荷時点で直接組み込まれる場合もあれば、古い車両に後付けのアップグレードとして追加される場合もあります。

メーカーがAndroid OSに大きく依存する傾向が強いのは、インターフェースのカスタマイズや不可欠なシステム統合作業がかなり簡素化されるためです。

業界全体でこうした依存が広がっている結果、標準的なAndroidアプリケーションの大半、そして既存のAndroidマルウェアの大半が、これらのデバイス上で動作しうる状態になっています。

ヘッドユニットが機微な個人データを本体に直接保存することはめったにないため、表面的には攻撃者にとって魅力が限られているように見えるかもしれません。

しかし、これらのデバイスは通常、稼働中のSIMカードスロットを備え、ナビゲーションサービスや定期的なソフトウェアアップデートのために常時インターネットに接続されています。

この、常時接続という特性と比較的手薄なセキュリティ監視という組み合わせこそが、今後攻撃者にとってこれらのシステムを本当に魅力的な標的にしていると言えるでしょう。

この特定のキャンペーンの全体的な規模は依然として明らかになっておらず、他のヘッドユニットメーカーが同様のリスクにさらされているかどうかも、まだわかっていません。