Специалисты российской компании «Лаборатория Касперского» сообщили об атаках на цепочку поставок, нацеленных на автомобильные головные устройства на базе Android. По словам исследователей, это первый задокументированный случай цепочки заражения вредоносным ПО, специально созданной для определенных автомобильных головных устройств. Термином «автомобильное головное устройство» (car head unit) принято обозначать мультимедийную систему с центральным экраном, посредством которой водитель управляет навигацией, воспроизведением аудио и другими информационно-развлекательными функциями автомобиля.

Головные устройства многих современных автомобилей как правило имеют подключение к интернету. В качестве операционной системы для них производители нередко используют всем известную систему Android. Это очевидный выбор, поскольку Android изначально предусматривает сценарии использования в головных устройствах автомобилей. Выявленные и описанные «Лабораторией Касперского» атаки были нацелены на системы компании DoFun — китайского поставщика автомобильного программного и аппаратного обеспечения, принадлежащего Shenzhen Driving Control Technology Co., Ltd.

Исследователи установили, что вредоносный APK-файл загружается легитимным системным приложением DoFun под названием TWCore. Загруженное приложение не имеет пользовательского интерфейса и представляет собой вредоносную программу JarService. После запуска она расшифровывает и выполняет загрузчик второго этапа, который устанавливает соединение с командным сервером и загружает еще один зашифрованный компонент. Финальный компонент периодически передает злоумышленникам информацию об устройстве, включая модель, разрешение дисплея, SSID сети Wi-Fi и MAC-адрес, а также получает от них команды.

К счастью, вредоносное ПО не вмешивается в управление автомобилем и работу его критически важных систем. По всей видимости, оно предназначено для мошенничества с интернет-рекламой, а также превращения подключенных к интернету автомобильных головных устройств в узлы резидентских прокси-сетей с целью их последующей монетизации. Исследователи обнаружили, что оператор преимущественно загружал на устройства модуль обратного прокси под названием zhima, превращающий головное устройство в узел прокси-ботнета. Кроме того, зараженные устройства использовались для выполнения веб-запросов в рамках мошенничества с рекламными кликами.

«Лаборатория Касперского» сообщила DoFun о своих выводах. Спустя некоторое время китайская компания ответила, что проблема была устранена.