Head-Units sind laut Kalinin internetfähige Geräte, die häufig über einen SIM-Karten-Slot verfügen und Navigationsfunktionen ermöglichen. Genau das macht sie für Botnetz-Betreiber interessant. “Da eine Head-Unit für einen Angreifer typischerweise nichts Wertvolles enthält, ist eines der wahrscheinlicheren Angriffsszenarien mit ‘klassischer’ Android-Malware die Infektion des Geräts, um es in ein Botnetz einzugliedern – ähnlich wie bei Angriffen auf IoT-Geräte”, schreibt der Forscher.
Der Angriffsweg führt über TWCore, eine Anwendung in der DoFun-Firmware, die die Software der Module aktualisiert. TWCore wies eine Schwachstelle auf, die die Installation von Software erlaubte, die zuvor nicht auf dem Gerät vorhanden war. Diese Lücke nutzten die Angreifer, um den mehrstufigen Loader einzuschleusen, der anschließend weitere Schadsoftware nachladen kann. Am Ende der Kette stehen laut Kalinin ein Trojan-Clicker, der verdeckt auf Web-Werbung klickt, sowie ein Reverse-Proxy-Modul.
Kaspersky informierte DoFun über die Aktivität; das Unternehmen erklärte gegenüber den Forschern, die Sicherheitsprobleme behoben zu haben. Ob auch Head-Units anderer Hersteller betroffen sind, ist offen – ein Kaspersky-Sprecher erklärte, das Forschungsteam wisse nicht, ob andere Anbieter vergleichbare Schwächen in ihren eingebauten Update-Systemen hätten. Dark Reading bat DoFun um eine Stellungnahme, erhielt bis Redaktionsschluss aber keine Antwort.
Entwarnung gibt es zumindest für die Fahrsicherheit: Zwar hätten Head-Units laut Kalinins Bericht “teilweise Kontrolle über bestimmte Fahrzeugfunktionen”, ein Kaspersky-Sprecher stellte gegenüber Dark Reading jedoch klar, dass ein infiziertes DoFun-Modul keine physische Gefahr für Fahrer oder Insassen darstellt, da es sich um reine Infotainment-Systeme handelt.
Die Zuordnung zur MoYu Group stützt Kaspersky auf mehrere technische Überschneidungen zwischen der aktuellen Kampagne und der Infrastruktur, die die Gruppe bei früheren Werbebetrugs-Aktivitäten einsetzte. MoYu ist als Betreiber des BadBox-Botnetzes bekannt, das sich nach Takedown-Versuchen wieder erholt hat und ebenfalls Android-Geräte ins Visier nahm. Während BadBox vor allem vernetzte Heimgeräte wie Smart-TVs infizierte, zielt die neue Kampagne auf Fahrzeuge.
Kalinin betont, dass die Gruppe damit über ihre bisherigen Verbreitungsmethoden hinausgewachsen sei, zu denen infizierte Apps und vorinstallierte Hintertüren zählten. “Der hier untersuchte Fall zeigt eine noch ausgefeiltere Auslieferungsmethode: die Verbreitung über die legitime Update-Funktion einer Systemanwendung”, so der Forscher. Da es sich um die erste bekannte Malware für Fahrzeug-Head-Units handele, benötigten diese Geräte künftig Schutzmechanismen gegen derartige Angriffe. Wie – und ob überhaupt – bereits infizierte DoFun-Module bereinigt werden können, ist bislang unklar.