مدتها بود عادت کرده بودیم خبرهای سایبری دنیای خودرو به دو دسته باشند: یا افشای اطلاعات از زیرساخت خودروسازها، یا آزمایشهای محققان امنیتی که در شرایط کنترل شده نشان میدادند فلان مدل قابل هک است. اما پژوهشگران کسپرسکی در خرداد امسال با چیزی روبهرو شدند که از هر دو سناریو بیرون است: بدافزاری فعال در فضای واقعی که مستقیماً یونیتهای مالتیمدیا خودرو را آلوده میکند و آنها را به عضو یک باتنت بدل میسازد. جالب تر اینکه مسیر ورود این بدافزار هیچ سابقهای نداشت؛ برای نخستین بار، مهاجمان از همان سازوکار بهروزرسانی خودکار فرمول استفاده کرده بودند که قرار است سلامت دستگاه را تضمین کند. در ادامه این مطلب از وبلاگ گروه آتنا تمام موارد رو موشکافانه بررسی می کنیم.
اصلاً یونیت هد چیست؟
اصطلاح “Head Unit” شاید کمی فنی به گوش برسد، ولی واقعیت این است که تقریباً هر رانندهای روزانه با آن سر و کار دارد. منظور همان سیستم صوتی تصویری و اطلاعات سرگرمی خودروست؛ نمایشگری وسط داشبورد که ناوبری، موسیقی، دوربین عقب و بخشی از تنظیمات ماشین از طریقش مدیریت میشود. در خودروهای جدید، این نمایشگر معمولاً به اینترنت هم متصل است.
سازندگان این دستگاهها هم اغلب اندروید را انتخاب میکنند و دلیلش روشن است: سفارشی سازی آسان رابط کاربری، توسعه سریع اپلیکیشن، امکان افزودن اجزای سیستمی اختصاصی و دسترسی به اکوسیستم بزرگ اپ های موجود. فقط یک مشکل کوچک وجود دارد؛ همین مزایا دست مهاجمان را هم باز میگذارد. چرا که اپلیکیشنی که روی دستگاه نصب میشود لزوماً خوشنیت نیست.
زنجیره آلودگی چگونه شروع میشود
پیش از هر چیز باید گفت که این بدافزار همه یونیتهای بازار را هدف نگرفته است. قربانیان، دستگاههایی هستند که با نرم افزار شرکت چینی DoFun کار میکنند؛ شرکتی که فرمور، اپلیکیشن و سرویسهای ابری سیستمهای مالتیمدیا اندرویدی را میسازد و طبق ادعای وبسایتش، بیش از سی میلیون خودروکار در دنیا از محصولاتش استفاده میکنند.
نقطه ورود مهاجمان، اپی TWCore است؛ یک اپ سیستمی معتبر که مسئولیت بهروزرسانی نرمافزار روی یونیتهای DoFun را بر عهده دارد. در حالت عادی، TWCore از سرور شرکت سازنده میپرسد چه فایلی باید دانلود و نصب شود و همان را اجرا میکند. معمولاً هم حرفش گوش میدهیم: بهروزرسانی همینطور نصب میشود. اما این کانال قابل اعتماد دقیقاً همان چیزی بود که مهاجمان دنبالش بودند. آنها با دستکاری این فرایند، تروژان رهاکنندهای به نام JarService را روی دستگاه نصب میکنند.
JarService ظاهراً چیزی نیست که بتوانید ببینیدش؛ نه رابط کاربری دارد، نه خودش را شبیه سرویس رسمی جا میزند و نیازی هم ندارد، چون قرار نیست کسی را قانع کند روی “اجازه دادن” کلیک کند. در دل کدش، بار مخرب مرحله بعد همراه با اطلاعات نسخه و نقطه ورودش بهصورت رمزنگاریشده پنهان شده است. کار JarService فقط یک چیز است: باز کردن این بسته و راه اندازی دانلودر.
دانلودر به محض فعال شدن، به سرور فرماندهی (C2) مهاجمان وصل میشود، مشخصات بدافزار نصب شده را گزارش میدهد و در پاسخ، لینک نسخه بعدی را دریافت میکند. آن فایل رمزگشایی و بیدرنگ اجرا میشود.
از نمایشگر ماشین تا شبکه پروکسی جهانی
خروجی این زنجیره، بدافزاری از نوع “کلیکر” است؛ نمونهای که برای متورم سازی تقلبی بازدید تبلیغات طراحی میشود. این ماژول بهصورت دورهای با C2 در تماس است و اطلاعاتی مثل مدل دستگاه، رزولوشن صفحه، آدرس MAC و حتی جزئیات شبکه وایفای متصل را مخابره میکند. در مقابل هم دستور میگیرد: ارسال درخواست HTTP، بازکردن صفحات وب و مهمتر از همه، دانلود و اجرای هر کد دیگری که مهاجم صلاح بداند.
و مهاجم صلاح میداند. با همین قابلیت، ماژولی به نام zhima نصب میشود که یونیت آلوده را رسماً عضو باتنت میکند؛ باتنتی که ستون فقرات یک سرویس پروکسی مسکونی است. یعنی ترافیک مجرمانه دیگران از راه دستگاه شما عبور میکند و در فضای آنلاین، همهچیز به IP خانه یا خودروی شما نسبت داده میشود.
پشت صحنه چه کسانی ایستادهاند؟
بررسی کارشناسان کسپرسکی نشان میدهد این عملیات به پلتفرم مخرب BADBOX گره خورده و بهطور مشخص ردپایش به گروه MoYu میرسد؛ نشانه های داخل کد بدافزار و همپوشانی زیرساختی با حملات پیشین این گروه، این حدس را تقویت میکند. BADBOX بهطور کلی مجموع های از فعالیتهای مجرمانه حول آلوده سازی دستگاههای اندرویدی و سوءاستفاده خاموش از منابعشان شکل گرفته است.
مدل درآمدی هم ساده اما پرسود است: اجاره منابع دیگران. در جریان بررسی زیرساخت باتنت، ارتباط گروه MoYu با دو سرویس PXYEDGE و ProxyForU شناسایی شد؛ خدماتی که به مشتریانشان امکان میدهند ترافیک اینترنتیشان را از دل دستگاههای عضو باتنت عبور دهند. بعید نیست بخشی از این ترافیک همین الان از روی یونیتهای خودروهای آلوده در حال گذر باشد.
این یعنی چه برای راننده؟
در کوتاه مدت، عارضه محسوس بیشتر از هر چیز، افت عملکرد است. بدافزار بخشی از منابع پردازشی یونیت را بلعیده و بار اضافی روی دستگاه میگذارد؛ نتیجهاش کند شدن منوها، گیر کردن ناوبری یا ناپایداری کلی سیستم مالتیمدیا خواهد بود. سرعت اینترنت خودرو هم احتمالاً پایین میآید، چون حجم قابل توجهی ترافیک پروکسی از مسیر اتصال شما رد میشود.
اما نگران کننده تر از کندی، دامنه قابلیتهای این بدافزار است. چیزی که روی دستگاه نشسته فقط یک پروکسی ساده نیست؛ میتواند دستور بگیرد، کد جدید دانلود کند و اجرایش کند. به زبان ساده، امروز یک کلیکر نصب شده و فردا ممکن است بسته به تصمیم اپراتورهای باتنت، چیز بسیار خطرناکتری جای آن را بگیرد.
حرف آخر
این پرونده یک بار دیگر نشان داد که حمله به دستگاههای متصل به اینترنت از ستباکس تلویزیون گرفته تا سیستم مالتیمدیا خودرو، دیگر سناریوی تئوریک کنفرانسهای امنیتی نیست؛ واقعیت جاری روزمره ماست. مهاجمان بیوقفه دنبال دستگاههای تازهای میگردند که منابعشان را بلعند و همین یعنی امنیت دیگر تنها معضل رایانه و گوشی هوشمند نیست.
خبر خوب اینکه کارشناسان، روند انتشار بدافزار را به شرکت سازنده گزارش کردند و DoFun هم مشکلات امنیتی کشف شده را رفع کرده است. تحلیل فنی کامل این بدافزار نیز در Securelist منتشر شده که برای علاقه مندان به جزئیات فنی، خواندنی است.