Androidカーシステム、ソフトウェアアップデート経由でマルウェアに感染

車のソフトウェアアップデートは本来、不具合を修正するためのものです。しかし、知らないうちに車載インフォテインメントシステムをボットネットに引き込んでしまうこともあります。

Kasperskyは8月21日、Androidベースの一部車載ヘッドユニットで使用されている正規のアップデート機構を通じて拡散するマルウェアを研究者が発見したとして、このキャンペーンを公表しました。このマルウェアは、運転者が何かをインストールする必要がないまま、影響を受けたインフォテインメントシステムに侵入できます。そのうえで、広告詐欺やプロキシボットネットの一部として悪用される仕組みです。

Kasperskyの調査結果によると、今回の問題はAndroid Autoや車載Android全般ではなく、特定のAndroidベースのヘッドユニットに限定されています。研究者らは、中国の自動車技術プロバイダーDoFunのソフトウェアを経由してこのキャンペーンをヘッドユニットまで追跡しました。DoFunは侵害されたアップデートチャネルを使ってマルウェアを配信していたとみられます。

正規のアップデートアプリ経由で侵入するマルウェア

Kasperskyの研究者らは今回のキャンペーンを発見しました。きっかけは6月に、JarServiceという見慣れないAndroidアプリケーションを調査していたことでした。一般的なAndroidマルウェアとは異なり、このアプリにはユーザーインターフェースがなく、ユーザーを騙してインストールさせる必要もありませんでした。というのも、すでにヘッドユニットのファームウェアに組み込まれていたためです。

JarServiceは、対象となるDoFun製ヘッドユニットのソフトウェアアップデートを管理する正規のシステムアプリケーション「TWCore」を通じて配信されていました。攻撃者はこの信頼されたアップデートチャネルを悪用し、ユーザーの操作を一切必要とせずにマルウェアを配布していたのです。

Kasperskyは今回のキャンペーンを、自動車のヘッドユニットに対して自動ファームウェアアップデートサービス経由でマルウェアが配信された、初めて文書化された事例だと説明しています。DoFunはKasperskyに対し、悪意あるソフトウェアの配布原因となった問題はすでに修正済みだと回答しています。

今回の攻撃は、企業がこれまで他の信頼されたソフトウェアチャネルで直面してきたより広範なセキュリティ問題と類似しています。今年に入り、攻撃者はNotepad++のアップデートインフラを乗っ取り、悪意あるインストーラーを配布しました。これは、根幹のインフラが侵害されると、標準的なアップデートプロセスすら攻撃経路になり得ることを示しています。

感染した車がプロキシボットネットの一部に

JarServiceはあくまで第一段階に過ぎません。

インストールされると、このマルウェアは別のローダーを復号・起動し、攻撃者が制御するコマンド&コントロール(C2)サーバーに接続して追加のペイロードを取得します。ペイロードの一つは不正な広告活動を生成する機能を持ち、もう一つは感染したヘッドユニットをプロキシネットワークに追加する機能を持ちます。

Kasperskyによる今回のキャンペーンの分析によれば、感染したシステムは端末のモデル名、画面解像度、MACアドレス、接続中のWi-Fiネットワークといった情報を攻撃者に送信できます。さらにこのマルウェアは、HTTPリクエストの送信、ウェブページの表示、追加の悪意あるコードのダウンロードおよび実行といったコマンドを受信することも可能です。

研究者らは、この活動をBADBOXマルウェアエコシステムに関連する脅威アクター「MoYu Group」に結び付けています。KasperskyはまたMoYu Groupと、ボットネットに接続された端末経由でインターネットトラフィックをルーティングできるレジデンシャルプロキシサービスとの関連性も発見しています。

つまり、標的となるのは必ずしも車内に保存されているデータではありません。車両そのものが価値あるインフラと化すのです。

Androidの柔軟性は、メーカーが高度にカスタマイズされたインフォテインメントシステムを構築するのに役立ちますが、同時に攻撃者にとってもなじみ深い、狙いやすい動作環境を提供してしまいます。モバイル脅威はすでに従来型の悪意あるアプリの範疇をはるかに超えています。最近発見されたManic Androidマルウェアは、近くにある感染済みのスマートフォンを経由して盗んだ情報を中継できます。またGoogleも、すでに攻撃で悪用されていたAndroidの脆弱性を修正する対応を迫られました。

運転者とセキュリティチームが知っておくべきこと

Kasperskyは、このマルウェアがステアリング、ブレーキ、加速といった車両の重要機能を制御できるという証拠は見つかっていないとしています。今回のキャンペーンは、Androidベースのインフォテインメント用ヘッドユニットを標的とし、そのインターネット接続を悪用したものでした。

また、影響を受けたシステムは自動車市場全体のごく一部に過ぎません。DoFunはAndroidベースの車載ヘッドユニット向けにファームウェア、アプリケーション、クラウドサービスを開発しており、同社の製品は世界中で3,000万人以上の車両所有者に利用されているとしています。ただし、それらすべての端末が侵害されたとはKasperskyは述べていません。

今回の攻撃は、ソフトウェアサプライチェーンの弱点がコネクテッドビークルのシステムにまで及びうることを示しています。

現代の車両は、インターネットに接続されたハードウェア、サードパーティ製ソフトウェア、自動アップデートに依存しており、それが全体的な攻撃対象領域を拡大させています。車両フリートを管理するセキュリティチームは、インフォテインメントをはじめとするコネクテッドシステムを、資産管理台帳、ネットワーク監視、サードパーティリスク評価の対象に含めるべきです。

運転者にとっては、Androidベースのヘッドユニット上で見慣れないアプリや不審なネットワーク活動が確認された場合、侵害の兆候である可能性があると考えるべきでしょう。

より多くの車両システムがネットワークに接続されるようになるにつれ、メーカーやフリート運用事業者は、サードパーティ製ソフトウェアやアップデート機構に伴うセキュリティリスクを考慮に入れる必要があります。今回のDoFunのキャンペーンは、こうした信頼されたチャネルの一つが侵害されるだけで、車両のハードウェアがボットネットの一部と化してしまうことを示しています。

あわせて読みたい: Manic Androidマルウェアは銀行の認証情報を盗み、近くにある感染済みのスマートフォンを経由して盗んだデータを中継可能。モバイル脅威が従来の防御をかいくぐる新たな手口を見出しつつあることを示す事例です。