Kaspersky identifiziert grafikloses Malware in Android-Autoradios, das mit dem BADBOX-Netzwerk verbunden ist
Die am 22. August veröffentlichte Forschung von Kaspersky zeigt, dass das Malware JarService, das dem MoYu Group zugeordnet wird, sich über die legitime Firmware in Android-Autoradios von DoFun installiert und als unsichtbares Botnet für den Fahrer agiert.
Forscher von Kaspersky veröffentlichten am Freitag, den 22. August, eine detaillierte Analyse eines Malware-Stammens namens JarService, der für Android-Autoradios des chinesischen Unternehmens Shenzhen Driving Control Technology, bekannt unter dem Markennamen DoFun, konzipiert wurde. Die Entdeckung erweitert das kriminelle Netzwerk BADBOX, das bisher hauptsächlich mit gefälschten Smart-TVs und Set-Top-Boxen in Verbindung gebracht wurde, auf den Bereich der Automobil-Elektronik.
Dmitry Kalinin, Forscher bei Kaspersky und Verfasser des Berichts, der im Securelist veröffentlicht wurde, erklärt, dass JarService ohne grafische Benutzeroberfläche oder sichtbares Symbol für den Benutzer operiert. Der Code wird heimlich über TWCore, einen legitimen Firmware-Updater, der von DoFun bereitgestellt wird, installiert. Beim Start verbindet sich der Dienst mit dem Command-and-Control-Server cardoor[.]cn über das MQTT-Protokoll, das typischerweise mit Anwendungen des Internet der Dinge aufgrund seines niedrigen Bandbreitenverbrauchs assoziiert ist.
Kaspersky weist die Operation mit hoher Sicherheit dem MoYu Group zu. Die Gruppe ist auch für die BADBOX-Infrastruktur verantwortlich, die in früheren Kampagnen identifiziert wurde, als Millionen von kostengünstigen Android-Geräten mit bereits in der Produktionskette kompromittierter Firmware in den Einzelhandel gelangten. Die Überlappung von IP-Adressen und Domain-Strukturen zwischen den Operationen war das Hauptkriterium für die Zuordnung der Forscher.
Laut Kalinin führen die infizierten Geräte zwei Funktionen für die Betreiber aus: Sie fungieren als Wohnungs-Proxy-Knoten und verschleiern den Datenverkehr Dritter über die Breitbandverbindung des Fahrzeugs und führen digitale Werbetrug durch, indem sie Anzeigen im Hintergrund ohne menschliches Eingreifen laden. Beide Aktivitäten sind für den Fahrer unsichtbar und haben minimale Auswirkungen auf die scheinbare Leistung des Systems, was die Erkennung durch normale Benutzer erschwert.
DoFun, Anbieter von Autoradios für Märkte wie Brasilien, Indien und Südostasien, bestätigte gegenüber Kaspersky, dass ein Firmware-Update nach der privaten Benachrichtigung durch die Forscher verteilt wurde. Das Unternehmen hat jedoch keine öffentliche Mitteilung veröffentlicht, keine Angaben zur Anzahl der betroffenen Einheiten gemacht und keinen Zeitraum angegeben, in dem die verwundbaren Geräte auf dem Markt erhältlich waren. Das Fehlen von Transparenz schafft praktische Probleme für Händler und Wiederverkäufer, die die Produkte der Marke vertreiben.
In Brasilien werden Drittanbieter-Android-Autoradios in großem Umfang in beliebten Fahrzeugen als kostengünstige Alternative zu den serienmäßigen Systemen installiert. Der Markt wächst parallel zur zunehmenden Verbreitung von Fahrzeugen, die für Android Auto vorbereitet sind, jedoch ohne die Sicherheitsanforderungen, die Hersteller ihren zugelassenen Lieferanten auferlegen. Kaspersky hat nicht die Anzahl der global aktiven kompromittierten Einheiten veröffentlicht.
Die Angriffsfläche, die durch verbundene Autoradios geschaffen wird, ist komplexer als die traditioneller Smart-TVs. Ein Fahrzeug überträgt Echtzeit-Standortdaten, verbindet sich mit öffentlichen und Unternehmens-WLAN-Netzen und kann mit Zahlungsanwendungen oder Streaming-Konten verbunden sein. Kalinin stellt fest, dass JarService bisher diese zusätzlichen Fähigkeiten nicht ausgenutzt hat, die Architektur jedoch es ermöglicht, dass Erweiterungsmodule jederzeit vom C2-Server bereitgestellt werden.
Die Verwendung des MQTT-Protokolls verdient besondere Aufmerksamkeit von Unternehmenssicherheitsteams. Im Gegensatz zum herkömmlichen HTTPS-Datenverkehr werden persistente MQTT-Sitzungen selten von Unternehmensfirewalls überwacht, die den Verkehr von Flotten filtern, die mit internen Netzwerken verbunden sind. Ein infiziertes Autoradio, das in einer Unternehmensgarage geparkt ist, kann als persistenter Einstiegspunkt fungieren, ohne herkömmliche Intrusion-Detection-Alerts auszulösen.
Für CISOs, die Flotten verwalten oder Mitarbeitern erlauben, Aftermarket-Autoradios über USB oder WLAN mit Unternehmensnetzwerken zu verbinden, empfiehlt Kaspersky drei Maßnahmen: Überprüfen Sie Firmware-Updates mit dem lokalen Distributor, isolieren Sie diese Geräte in dedizierten Netzsegments und überwachen Sie den ausgehenden MQTT-Datenverkehr über nicht standardisierte Ports. Die Indikatoren für eine Kompromittierung, einschließlich der Hashes von JarService und der Domain cardoor[.]cn, sind im öffentlichen Bericht von Securelist verfügbar.
Das volle Ausmaß des BADBOX-Netzwerks als kriminelle Infrastruktur bleibt ungewiss. Unternehmen wie Human Security und Trend Micro haben bereits frühere Varianten in Smart-TVs und Android-Tablets dokumentiert. Das Autoradio stellt den ersten bestätigten Vorstoß in automobile Hardware dar, was darauf hindeutet, dass die MoYu Group systematisch ihr Portfolio an Zielgeräten erweitert.