Android tabanlı araç içi multimedya sistemleri, siber saldırganların yeni hedefi oldu. Kaspersky tarafından tespit edilen saldırı kampanyasında, cihazların meşru yazılım güncelleme mekanizması kötü amaçlı yazılım dağıtmak için kullanıldı.
Saldırganların bu yöntemle multimedya ünitelerine zararlı yazılımlar yüklediği, ardından sistemleri reklam sahtekârlığı ve başka kötü amaçlı faaliyetler için kullandığı belirlendi.
Android multimedya sistemleri hedef alındı
Kaspersky'nin açıklamasına göre saldırı, doğrudan araç sistemleri için tasarlanmış bir bulaşma zinciri üzerinden Android tabanlı multimedya ünitelerini hedefliyor. Araştırmacılar, bunun araç multimedya sistemlerini hedef alan belgelenmiş ilk vaka olduğunu değerlendiriyor.
Söz konusu saldırının, daha önce farklı Android cihazları hedef alan BadBox botnetiyle ilişkili MoYu Group adlı tehdit aktörüyle bağlantılı olabileceği belirtiliyor.
Android'in araçlarda kullanılması, standart uygulamaların yanı sıra bu işletim sistemine yönelik zararlı yazılımların da multimedya ünitelerinde çalışabilmesine imkân tanıyor. Üstelik bu cihazların SIM kart yuvasına ve sürekli internet bağlantısına sahip olması, saldırganlar açısından ek bir fırsat oluşturuyor.
Zararlı yazılım güncelleme mekanizması üzerinden dağıtıldı
Kaspersky araştırmacıları, zararlı yazılımın DoFun tarafından desteklenen Android tabanlı çeşitli multimedya ünitelerinde kullanılan ürün yazılımı güncelleme mekanizmaları üzerinden dağıtıldığını tespit etti.
Saldırı zinciri, normal şartlarda analiz verilerini toplamak ve multimedya ünitesinin yazılımını güncellemek için kullanılan TWCore isimli meşru sistem uygulaması üzerinden başlıyor.
Saldırganlar, üretici sunucusundan gelen uygulama yükleme ve güncelleme talimatlarının iletildiği iletişim kanalını kötüye kullanarak JarService adlı yükleyici üzerinden zararlı yazılımları araç sistemlerine gönderiyor.
Çok aşamalı olarak tasarlanan saldırıda zararlı yazılım, standart bir kullanıcı uygulaması gibi sisteme yükleniyor. Kullanıcı arayüzüne sahip olmayan yazılım ise arka planda çalışarak fark edilmesini zorlaştırıyor.
Reklam sahtekârlığı ve veri toplama yeteneği
Kaspersky analistleri, zararlı yazılımın saldırganlara istenmeyen reklamlar gösterme, reklam sahtekârlığı yapma ve yeni zararlı modüller indirme imkânı sağlayan dokuz farklı komut kullandığını belirledi.
Yazılımın yalnızca reklam faaliyetleriyle sınırlı kalmadığı da ortaya çıktı. Zararlı yazılımın cihazın modeli ve ekran çözünürlüğü gibi bilgilerin yanı sıra bağlı Wi-Fi ağının kimliği ve MAC adresi gibi cihaz ve ağ verilerini topladığı tespit edildi.
BadBox bağlantısı dikkat çekti
Araştırmacılar, saldırı kampanyasını daha önce televizyon alıcıları başta olmak üzere çeşitli Android cihazlarını hedef alan saldırılarla karşılaştırdı. İncelemelerde BadBox botneti ve MoYu Group ile bağlantılı olabileceğini gösteren teknik izlere ulaşıldı.
BadBox; Android TV kutuları, akıllı telefonlar ve tabletler gibi cihazların üretim aşamasında zararlı yazılımlarla enfekte edilmesiyle oluşturulan geniş kapsamlı bir botnet olarak biliniyor. Bu cihazlardaki arka kapılar, reklam sahtekârlığı, veri sızdırma ve yasa dışı vekil sunucu trafiği gibi faaliyetlerde kullanılabiliyor.
Hedef artık otomotiv sistemleri
Kaspersky Güvenlik Araştırmacısı Dmitry Kalinin, BadBox botnetinin etkisiz hâle getirilmesine yönelik çalışmalar sürmesine rağmen bağlantılı aktörlerin farklı cihazlara yönelik saldırılarını devam ettirdiğini belirtti.
Kalinin, saldırganların yöntemlerini fabrikada yerleştirilen arka kapılardan güvenliği ihlal edilmiş IPTV uygulamalarına kadar çeşitlendirdiğini ifade etti.
Son saldırının ise tehdit aktörlerinin hedeflerini otomotiv sektörüne genişlettiğini gösterdiğini belirten Kalinin, modern otomotiv platformlarının kötü amaçlı yazılımlara karşı daha kapsamlı güvenlik önlemlerine ihtiyaç duyduğuna dikkat çekti.
