Malware in Auto-Head-Units baut Proxy-Botnetz aus Android-Geräten auf

Forscher haben Malware in Auto-Head-Units entdeckt, die Android-basierte Infotainmentsysteme über eine legitime App für Geräteupdates infiziert. Die Kampagne scheint darauf ausgelegt zu sein, kompromittierte Systeme in Knoten eines Proxy-Botnetzes zu verwandeln und Werbebetrug zu unterstützen.

Kaspersky ordnete die Aktivitäten der MoYu-Gruppe zu, die Forscher bereits zuvor mit dem BadBox-Malware-Botnetz in Verbindung gebracht hatten. Das Unternehmen bezeichnete sie als die erste dokumentierte Infektionskette, die speziell für gezielte Angriffe auf Android-basierte Auto-Head-Units entwickelt wurde.

Legitime Update-App verbreitete die Malware

Die Kampagne richtete sich gegen Head-Units des chinesischen Anbieters DoFun, der Hardware, Software und Cloud-Dienste für die Automobilbranche anbietet. Diese generischen Android-Geräte können Infotainment, Navigation und Fahrzeugeinstellungen verwalten.

Im Juni entdeckten Forscher einen schädlichen APK-Download, der von TWCore ausging, einer legitimen System-App von DoFun. TWCore erhielt Berichten zufolge Anweisungen über einen MQTT-Server.

Die heruntergeladene App verfügte über keine sichtbare Benutzeroberfläche. Die Forscher gaben der Malware den Namen JarService.

Beim Start entschlüsselt JarService einen Loader der zweiten Stufe und führt ihn aus. Dieser Loader kontaktiert einen Command-and-Control-Server und lädt eine weitere verschlüsselte Payload herunter.

Malware sammelt Gerätedaten und wartet auf Befehle

Die endgültige Payload sendet regelmäßig Geräteinformationen an die Angreifer. Zu den gesammelten Daten können das Gerätemodell, die Bildschirmauflösung, der Name des WLAN-Netzwerks und die MAC-Adresse gehören.

Sie kann außerdem Befehle von den Angreifern empfangen. Diese ermöglichen es der Malware, gespeicherte Daten auszulesen, Inhalte in die Zwischenablage zu kopieren, Webanfragen zu senden und Ressourcen im Browser zu öffnen.

Ein Befehl kann zusätzlichen Code oder weitere Module herunterladen und ausführen. Dadurch können die Angreifer die Aktivitäten auf infizierten Systemen nach der ursprünglichen Kompromittierung flexibel verändern.

Proxy-Modul verwandelt Head-Units in Botnetz-Knoten

Den Forschern zufolge nutzten die Betreiber hauptsächlich ein Reverse-Proxy-Modul namens zhima. Es verwandelt eine mit dem Internet verbundene Auto-Head-Unit in einen Knoten eines Proxy-Botnetzes.

Kriminelle können diese Proxy-Knoten nutzen, um Datenverkehr über die Geräte anderer Personen zu leiten. Dadurch können sie den Ursprung schädlicher Aktivitäten verschleiern oder den Zugang zu Internetverbindungen verkaufen, die wie private Anschlüsse erscheinen.

Die Malware führte außerdem Webanfragen im Zusammenhang mit Klickbetrug durch. Diese Aktivitäten können gefälschte Werbeinteraktionen erzeugen und den Betreibern Einnahmen verschaffen.

Malware zielt nicht auf Fahrzeugsteuerungen ab

Kaspersky erklärte, dass die Malware in den Auto-Head-Units weder den Fahrbetrieb noch kritische Fahrzeugsteuerungssysteme beeinträchtigt. Die Kampagne scheint sich darauf zu konzentrieren, die Internetverbindungen der Head-Units zu monetarisieren, anstatt die Fahrzeugsicherheit zu gefährden.

Diese Unterscheidung ist wichtig, dennoch verursacht die Infektion weiterhin Datenschutz- und Sicherheitsrisiken. Angreifer könnten Daten vom Gerät sammeln, dessen Netzwerkverbindung missbrauchen und weitere Module installieren.

Kaspersky erklärte, DoFun über die Ergebnisse informiert zu haben. Den Forschern zufolge teilte das Unternehmen mit, dass das Problem behoben worden sei.

Besitzer Android-basierter Head-Units sollten Updates ausschließlich aus vertrauenswürdigen Quellen installieren und bei unerwarteten Downloads oder Softwareänderungen vorsichtig sein.