Radio w desce rozdzielczej dawno przestało być radiem. W tanich jednostkach z Androidem siedzi pełnoprawny komputer: własny system, pamięć, a często gniazdo karty SIM i stałe łącze. Kaspersky opisał właśnie pierwszy udokumentowany przypadek złośliwego kodu, który trafił do takiego urządzenia fabrycznym kanałem aktualizacji. Właściciel nie musiał niczego instalować ani w nic klikać. Wystarczyło, że jego radio samochodowe z Androidem zrobiło to, do czego zostało zbudowane, czyli odebrało polecenie aktualizacji i je wykonało.
Złośliwe pakiety przyszły tą samą drogą co zwykła aktualizacja
Badacze natrafili na ten kod przypadkiem, przy rutynowym monitorowaniu zagrożeń Androida w czerwcu, a całą analizę opisali w raporcie opublikowanym na Securelist. Zwróciło ich uwagę coś nietypowego. Aplikacja instalowała się jak zwykły program użytkownika, ale nie próbowała udawać niczego legalnego, bo nie miała żadnego interfejsu. Nie dało się jej otworzyć ani zobaczyć. To nasunęło podejrzenie, że trafia na urządzenia bez udziału właściciela, i podejrzenie się potwierdziło.
Winowajcą okazała się aplikacja systemowa o nazwie TWCore, obecna w oprogramowaniu jednostek marki DoFun. Sama w sobie jest całkowicie legalna i ma dwa zadania: zbiera dane analityczne oraz aktualizuje oprogramowanie radia. To drugie zadanie okazało się furtką.
Mechanizm działa tak, że TWCore nasłuchuje poleceń od pośrednika wiadomości umieszczonego w subdomenie cardoor[.]cn. W takim poleceniu przychodzi informacja o pakietach, które należy pobrać i zainstalować. Kluczowe jest jedno pole w tej wiadomości, o nazwie installNotExists. Kiedy jest ustawione na prawdę, TWCore w ogóle nie sprawdza, czy dana aplikacja była wcześniej na urządzeniu. Instaluje ją tak czy inaczej.
W tym jednym polu mieści się cała różnica między aktualizatorem a instalatorem dowolnego oprogramowania. Telemetria Kaspersky’ego pokazała nieznany wcześniej kod dokładnie w katalogach, z których TWCore instaluje pakiety. We wszystkich zaobserwowanych przypadkach instalującym był pakiet com.tw.core, czyli sam TWCore.
Trzy stopnie, z których dopiero ostatni coś robi
Dalej działa układ znany z innych rodzin złośliwego oprogramowania, ale rozłożony na trzy osobne etapy. Pierwszy to niewielki program o nazwie JarService, bez interfejsu, którego jedyną rolą jest odszyfrowanie i uruchomienie kolejnego elementu. Drugi to ładowarka, która melduje się na serwerze sterującym i dostaje w odpowiedzi adres właściwego kodu.
Trzeci stopień jest tym, który wykonuje pracę. Łączy funkcję modułu klikającego w reklamy z ładowarką odwrotnego proxy. Badacze zdobyli siedem jego odmian, o numerach od 3.57 do 3.82, oraz osiem wersji modułu proxy o nazwie zhima.
Tu potrzebne jest zastrzeżenie, o którym łatwo zapomnieć przy takich wyliczeniach. Te warianty nie pochodzą z zainfekowanych aut. Badacze zdobyli je, zgadując kolejne numery wersji w adresie pobierania. Liczba odmian kodu mówi więc o pracowitości autorów, a nie o tym, ile urządzeń padło ofiarą.
Warto też odnotować, ile z tego faktycznie zostało użyte. W trzecim stopniu zaimplementowano dziewięć poleceń. Są wśród nich otwarcie adresu w oknie przeglądarki z wykonaniem dowolnego skryptu oraz podmiana zawartości schowka. W praktyce, w chwili publikacji raportu, atakujący korzystali z dwóch. Możliwości narzędzia to nie to samo co jego zastosowanie i mieszanie tych dwóch rzeczy jest najprostszą drogą do przesady.
Po co komu radio w cudzym samochodzie
Odpowiedź na to pytanie jest najciekawszą częścią całej sprawy, bo pokazuje konkretny model zarobku. Autorzy raportu zwracają uwagę, że jednostka multimedialna zwykle nie zawiera niczego, co byłoby dla napastnika łupem. Jako przykład podają trojany bankowe, których wysyłanie na radio byłoby marnowaniem zasobów, skoro z bankowości korzysta się na telefonie. Dlatego za bardziej prawdopodobny scenariusz uznają wciągnięcie urządzenia do botnetu, a cele tej kampanii raport nazywa wprost: oszustwo reklamowe oraz sieć proxy.
Moduł zhima zamienia urządzenie w odwrotne proxy, czyli punkt, przez który ktoś obcy przepuszcza swój ruch. Ruch wychodzi wtedy z domowego albo komórkowego adresu ofiary i wygląda na zwyczajny. Takie adresy sprzedaje się jako proxy domowe właśnie dlatego, że nie wyglądają na ruch z serwerowni.
Badacze dotarli do panelu, w którym operatorzy zarządzają tą siecią. Rejestracja jest w nim otwarta dla każdego, kto ma kod zaproszenia. Regulamin i polityka prywatności leżą w domenie firmy handlującej proxy domowymi, a oznaczenie praw autorskich prowadzi do drugiej firmy z tej samej branży. Sami autorzy formułują to ostrożnie. Piszą, że panel wygląda na należący do tej infrastruktury, i że sądzą, iż te usługi są ze sobą powiązane. Twardo potwierdzone jest tyle, że panel i jeden z serwerów sterujących modułem zhima dzielą ten sam adres sieciowy. Wniosek o handlu cudzym łączem jest więc mocno umocowany, ale pozostaje wnioskiem badaczy, a nie udowodnioną transakcją.
Do tego dochodzi rzecz, która powinna zainteresować każdego kierowcę osobno. Trzeci stopień domyślnie co dziewięćdziesiąt minut wysyła na serwer sterujący komplet informacji o urządzeniu: rozdzielczość ekranu, model, adres sprzętowy karty sieciowej oraz nazwę sieci Wi-Fi, z którą radio jest połączone. Nazwa sieci Wi-Fi wyjeżdżająca z auta co półtorej godziny to już nie jest abstrakcyjne oszustwo reklamowe.
Czego raport nie podaje
Rzecz, której w raporcie nie ma, jest równie ważna jak to, co w nim jest. Kaspersky ani razu nie podaje liczby zainfekowanych urządzeń. Nie ma tam żadnej statystyki ofiar, żadnego oszacowania zasięgu i żadnej informacji o tym, jak długo to trwało, zanim ktokolwiek zauważył. Znamy tylko moment odkrycia, czyli czerwiec.
Nie ma też geografii. W całym dokumencie nie pada nazwa żadnego kraju ani regionu, więc zdanie o tym, gdzie te urządzenia jeżdżą, nie miałoby na czym się oprzeć. Nie ma również listy modeli, numerów jednostek ani wersji Androida. Poza nazwą marki DoFun sprzęt nie jest w żaden sposób doprecyzowany.
Producent, jak podaje raport, został powiadomiony i zgłosił naprawienie błędów. Warto zachować przy tym zdaniu dystans, bo jest to deklaracja producenta zrelacjonowana przez badaczy, a nie niezależnie sprawdzony stan. Nie wiadomo też, co ta naprawa oznacza dla urządzeń, które są już u ludzi i mogły zostać zainfekowane wcześniej.
Jedna rzecz jest natomiast nazwana wprost, choć z ostrożnością. Kaspersky przypisuje tę kampanię grupie MoYu, powiązanej z botnetem BADBOX, i robi to “z wysoką pewnością”. Podstawą są nazwy wewnętrzne znalezione w kodzie oraz szerokie pokrywanie się infrastruktury sieciowej. To sformułowanie warto czytać dosłownie, bo w raportach bezpieczeństwa wysoka pewność nie jest tym samym co dowód.
Jedno potwierdzenie z zewnątrz też jest i wzmacnia całą sprawę. Zespół reagowania Nokia Deepfield znalazł ten sam moduł proxy w dekoderach telewizyjnych mniej więcej w tym samym czasie, niezależnie od Kaspersky’ego. To ten sam mechanizm zarobku przeniesiony na inny sprzęt.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Czy taki sprzęt jeździ po polskich drogach
Tu trzeba oddzielić to, co sprawdziliśmy, od tego, czego nie ustalono. Marki DoFun polski kupujący raczej nie spotka, bo nie jest to nazwa, która trafia na pudełko w sklepie. Sprawdziliśmy natomiast samą kategorię sprzętu. Radio samochodowe z Androidem jest u nas towarem zupełnie pospolitym.
W sklepie pod Poznaniem sprawdziliśmy dwie konkretne oferty: podstawowy model 2 DIN z Androidem za 299 zł i wersję z większą pamięcią za 829 zł. Cała kategoria sięga w obie strony dalej, więc nie są to widełki rynku, tylko dwa punkty odniesienia. Ten droższy egzemplarz ma w nazwie wprost dopisek o module SIM, co jest istotne, bo oznacza własne łącze niezależne od telefonu kierowcy. Na Allegro i w polskiej wersji AliExpressu bez trudu znajdzie się oferty, które w tytule mają oznaczenia platform TS10 i TS18, a to rodzina, którą DoFun publicznie obsługuje swoim oprogramowaniem.
Poszlaka jest więc wyraźna, ale poszlaką pozostaje i trzeba to powiedzieć wprost. Kaspersky nazwał jedną markę i nie napisał ani słowa o tym, gdzie te urządzenia trafiły. Nie ma żadnego dowodu, że egzemplarze sprzedawane w Polsce są zainfekowane, i nie zamierzamy takiego wrażenia wywoływać.
Ciekawsze jest co innego, bo dotyczy każdego kupującego niezależnie od tej konkretnej sprawy. W przejrzanej kategorii polskiego sklepu ani jedna oferta nie podaje firmy odpowiedzialnej za oprogramowanie. Oznaczenia TS10 i TS18 pojawiają się wprawdzie w tytułach części ofert na Allegro i AliExpressie. To wciąż jednak tylko nazwa platformy sprzętowej. Kupujesz “radio 2 DIN Android 4/64 GB” i na tym opis się kończy. Kto napisał ten system, kto go aktualizuje i pod jaki serwer urządzenie się zgłasza, pozostaje poza ofertą. Nabywca nie ustali tego z samego opisu.
Dlaczego “nie instaluję nic dziwnego” tutaj nie chroni
To jest sedno całej sprawy i powód, dla którego warto ją zapamiętać. Zwykła ostrożność użytkownika polega na tym, żeby nie instalować podejrzanych plików i nie klikać w dziwne odnośniki. Tutaj taka ostrożność nie miała czego złapać, bo ryzyko siedziało w mechanizmie aktualizacji, czyli w tej jednej rzeczy, którą wszyscy słusznie zalecamy włączyć i zostawić w spokoju.
Warto przy tej okazji zapytać o zabezpieczenia, które Android właśnie w tym obszarze wprowadza. Pisaliśmy niedawno o tym, że Google zaczyna weryfikować tożsamość dewelopera pliku APK, i jest to sensowny kierunek. Na urządzeniach certyfikowanych przez Google weryfikacja ma docelowo obejmować aplikacje niezależnie od źródła instalacji. Nie wiadomo jednak, czy i jak zadziałałaby przy instalacji wykonywanej przez systemowy aktualizator producenta. Statusu certyfikacji jednostek DoFun nie ustalono na potrzeby tego tekstu. To jest pytanie otwarte, nie zamknięta odpowiedź.
Rodzajowo to bliski krewny ataków na łańcuch dostaw, o których pisaliśmy przy okazji podstawionej paczki w repozytorium Rusta. Różnica jest jednak zasadnicza i sprowadza się do ofiary. Tam celem był programista, który świadomie pobiera zależność i przynajmniej teoretycznie może ją sprawdzić. Tu celem jest kierowca, który kupił radio i nie ma żadnego narzędzia, żeby cokolwiek zweryfikować.
Praktycznych rad jest mało i lepiej powiedzieć to szczerze, niż podać listę pozornych działań. Jeśli jednostka ma własną kartę SIM, warto zaglądać w zużycie danych, bo ruch proxy przechodzący przez urządzenie musi się gdzieś odłożyć. Jeśli łączy się przez Wi-Fi, można ją trzymać w sieci dla gości, żeby nie widziała reszty domowych urządzeń. Poza tym zostaje wybór sprzętu od producenta, który w ogóle odpowiada na pytanie, kto robi mu oprogramowanie.
Podsumowanie
Sprawa jest pierwsza w swoim rodzaju i na tym polega jej waga, a nie na skali, bo skali po prostu nie znamy. Kaspersky nie podaje ani liczby zainfekowanych urządzeń, ani krajów, ani modeli. Każdy, kto napisze o tysiącach polskich aut, dopisze to od siebie. Znamy natomiast mechanizm i jest on niepokojąco zwyczajny. Legalna aplikacja systemowa od aktualizacji, jedno pole w wiadomości pozwalające zainstalować cokolwiek, a na końcu łańcucha moduł zamieniający urządzenie w proxy, które badacze wiążą z handlem cudzym łączem. Radio samochodowe z Androidem kupimy w polskim sklepie w cenach rzędu 300 czy 830 zł za sprawdzone przez nas modele, z których droższy miał własny modem SIM. Kupujący nie ustali z samego opisu oferty, czyje oprogramowanie dostaje, i to jest w tej historii najtrwalszy problem. Ten sam schemat, czyli wejście kanałem uznanym za zaufany, opisaliśmy przy luce w Zimbrze, która wykonuje się w obsłudze powiadomień SNMP.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
