3分で読了
ボットネットの標的は新たな領域にまで広がっています。研究者らは今回、ダッシュボード上で車両の通信・エンターテインメント・情報システムを制御するハードウェアモジュール、いわゆる車載ヘッドユニットを狙ったAndroidマルウェアを初めて発見しました。
Kasperskyの研究者らは6月、Androidを狙った脅威を監視していた際、意外な場所で新種のマルウェアを発見しました。それは車載ヘッドユニットのファームウェアの中でした。研究者らが見つけたのは、一見すると典型的なヘッドユニット向けアプリでしたが、ユーザーインターフェースを持たないという点で異彩を放っていました。
このアプリを解析した結果、実際には多段階型のマルウェアダウンローダーであり、ヘッドユニットへの感染と、正規機能の悪用による拡散を目的として設計されていたことが判明しました。
Kasperskyのセキュリティ研究者であるDmitry Kalinin氏は脅威レポートの中で、「このマルウェアは、Androidベースの車載ヘッドユニット向けファームウェアに組み込まれたアップデート機能を通じて拡散していました」と記しています。「これは、その種のデバイスに特有の感染経路を持つマルウェアが車載ヘッドユニット上で見つかった、初めて文書化された事例です」
さらにKasperskyの研究者らは、この感染経路を既知のサイバー犯罪グループにまで突き止めました。悪名高いBadBoxボットネットの運営元でもあるこのグループの最終目的は、クリック詐欺に利用するプロキシボットネットを構築することにあります。今回の発見は、脅威アクターがボットネットキャンペーンにおいて、あらゆる種類のデバイスを標的にしようとしていることを示しています。
ヘッドユニットのファームウェアへのハッキング
Kasperskyの研究者らは、JarServiceと名付けられたこのAndroidマルウェアが、中国の自動車技術メーカーであるDoFun製のモジュールを標的にしていたことを突き止めました。Kalinin氏によると、ヘッドユニットはインターネットに接続されたデバイスであり、多くの場合SIMカードスロットを備え、ナビゲーションシステムを可能にしているといいます。
同氏は「ヘッドユニットは通常、攻撃者にとって価値のあるものを何も保持していないため、『古典的な』Androidマルウェアを使った攻撃シナリオとしてより可能性が高いのは、IoTデバイスへの攻撃と同様に、このデバイスに感染させてボットネットに組み込むというものです」と記しています。
まず良い知らせとしては、Kalinin氏がレポートの中で車載ヘッドユニットは「特定の車両機能に対して部分的な制御権を持つ」と指摘している一方で、Kasperskyの広報担当者はDark Readingに対し、今回のケースで感染したDoFun製ヘッドユニットは純粋な車載情報娯楽(インフォテインメント)システムであり、運転者や同乗者に物理的なリスクをもたらすものではないと説明しています。
一方で悪い知らせは、このAndroidローダーが追加のマルウェアをダウンロードできる点、そしてDoFunのファームウェアに含まれるソフトウェアアップデート用アプリ「TWCore」を悪用することで拡散する点です。TWCoreには、ヘッドユニットにまだ存在しないソフトウェアのインストールを許してしまう脆弱性があったため、今回のキャンペーンの背後にいる脅威アクターはこのアプリを悪用し、多段階型のローダーをインストールしていました。
Kasperskyのレポートによると、同社の研究チームはこの悪意ある活動についてDoFunに通報し、同社はセキュリティ上の問題を修正したと報告しているとのことです。他のヘッドユニットも標的にされているかどうかは不明であり、Kasperskyの広報担当者は、他のヘッドユニットメーカーの組み込みアップデートシステムにも同様の脆弱性があるかどうかについては、研究チームとして把握していないと述べています。
クリック詐欺ボットネット、車両システムへと拡散
Kasperskyの研究者らは、JarServiceによる感染を、見覚えのある敵対勢力、すなわち悪名高いBadBoxボットネットの背後にもいたMoYuグループに結び付けました。BadBoxはこれまでにも摘発の取り組みから何度も立ち直ってきたボットネットで、Androidデバイスを標的にしていました。
スマートテレビなど家庭用IoTデバイスに感染していたBadBoxとは異なり、MoYuによる今回の新たなキャンペーンは車両を標的にしています。Kalinin氏によると、このAndroidダウンローダーは最終的に、Web広告を密かにクリックするよう設計されたマルウェアであるトロイの木馬型クリッカーと、リバースプロキシモジュールの両方を展開するといいます。
Kasperskyの研究チームは、今回のキャンペーンと、過去の広告詐欺活動で使われていたMoYuのインフラとの間に、複数の技術的な重複点を確認しており、これが同社の「高い確度」による帰属判断につながっています。MoYuの活動が車両システムにまで拡大したこと自体が注目に値する一方で、Kalinin氏は、感染アプリやプリインストールされたバックドアといった、この種のボットネットマルウェアが従来用いてきた配布手法から、同グループが一段と進化を遂げている点も強調しています。
同氏は「今回取り上げた事例は、システムアプリの正規のアップデート機能を通じた配布という、さらに巧妙な配布手法を示しています」と述べています。
Kalinin氏はまた、これが車載ヘッドユニットを標的とした初めて確認されたマルウェアであることから、今後はこうした攻撃に対する防御策がこれらのデバイスに求められるようになると記しています。感染したDoFun製モジュールをどのように修復できるのか、あるいはそもそも修復可能なのかについては、現時点で不明です。Dark ReadingはDoFunにコメントを求めましたが、本稿執筆時点で同社からの回答は得られていません。
