- Kasperskyは、DoFun製の車載ヘッドユニットがTWCoreのアップデート機能を悪用されるAndroidマルウェアを発見しました
- 多段階の攻撃によりローダーとリバースプロキシがインストールされ、コネクテッドカーによるボットネットの構築を狙っています
- 今回のキャンペーンはMoYu Groupによるものとされ、DoFunは開示を受けて脆弱性を修正しました
これまで、カメラやDVRで構成されるボットネット、さらにはスマート冷蔵庫やデジタルフォトフレームで構成されるボットネットまで確認されてきましたが、自動車のインフォテインメントシステムで構成されるボットネットが確認されたのは、これが初めてです。何事にも「初めて」があるものです。
今週初め、セキュリティ研究者であるKasperskyが、車のヘッドユニットを標的とする新型のAndroidマルウェアを発見したと警告しました。被害を受けているのは、DoFunという中国のメーカーとみられます。同社のAndroidベースのヘッドユニットには、解析やソフトウェアアップデート用のアプリ「TWCore」が搭載されています。
Kasperskyによると、攻撃者はTWCoreのアップデート機能を悪用し、悪意のあるAPKをダウンロードするよう指示を出していました。このマルウェアはアプリのキャッシュディレクトリに配置され、正規のcom.tw.coreパッケージによってインストールされる仕組みです。
現時点で稼働中のキャンペーンはなし
研究者らによると、これは多段階の攻撃だといいます。第1段階では、ユーザーインターフェースを持たない小型のドロッパーが展開されます。これが埋め込まれたデータを復号し、第2段階に必要な情報を抽出します。次の段階では、ローダーが攻撃者のサーバーに接続し、第3段階の指示を受け取ります。この第3段階の内容はさまざまで、追加のマルウェアを展開する場合もあれば、「zhima」と呼ばれるリバースプロキシを実行する場合もあります。
このマルウェアは多機能ではあるものの、Kasperskyはキャンペーンの本当の狙いを、車をボットネットに組み込むことだとみています。一部の車にはSIMスロットが搭載され、24時間365日インターネットに接続されています。車こそが悪意あるボットネットにとって理想的な端末だと言っても、決して大げさではないでしょう。
Kasperskyは今回のキャンペーンを、Android端末を悪用したボットネット構築で知られる脅威アクター「MoYu Group」によるものと分析しています。同グループは過去にも、Androidスマートフォンやタブレット、ストリーミングデバイスをはじめとするインターネット接続機器から、BadBoxボットネットを構築していたことが確認されています。
研究者らは調査結果をDoFunに通知し、脆弱性は速やかに修正されました。「私たちはベンダーに配布の仕組みについて通知し、その後ベンダーからセキュリティ問題を修正したとの報告を受けました」と研究者らは述べています。
