Kaspersky, multimedya özelliklerini ve kimi durumlarda araç denetim fonksiyonlarını bir arada sunan araç içi multimedya sistemlerini (Head Unit) maksat alan yeni bir Android ziyanlı yazılımı tespit etti. Saklı çalışan çok evreli bir indirici (downloader) biçiminde yapılandırılan bu kampanya, direkt araç sistemlerine özel olarak tasarlanmış bir bulaşma zinciri üzerinden araç multimedya ünitelerini gaye alan birinci belgelenmiş olay niteliğini taşıyor. Akının hedefi reklam sahtekarlığı (ad fraud) ve öteki berbat niyetli faaliyetleri yürütmeyi sağlayan çok kademeli ziyanlı yazılımları sisteme yerleştirmek. Kaspersky araştırmacıları, bu faaliyetin berbat şöhretli BadBox botnetiyle yakın kontaklı bir tehdit aktörü olan MoYu Group ile bağlantılı olabileceğini kıymetlendiriyor.
Hedefte Araç İçi Multimedya Sistemleri Var
Araç multimedya sistemleri fabrikasyon olarak monte edilebildiği üzere, sonradan eski model araçlara da entegre edilebiliyor. Üreticilerin arayüzleri kolay kolay özelleştirmek ve temel sistem bileşenlerini eklemek için sıklıkla Android işletim sistemini tercih etmesi, standart Android uygulamalarının ve hasebiyle Android ziyanlı yazılımlarının büyük kısmının bu aygıtlarda da çalışabilmesine yol açıyor. Bu sistemler nadiren hassas şahsî bilgiler barındırsa da ekseriyetle SIM kart yuvasına ve navigasyon ile yazılım güncellemeleri için kesintisiz internet kontağına sahip olmaları, onları siber saldırganlar için cazip bir maksat haline getiriyor.
Bulaşma Vektörü: Berbata Kullanılan Güncelleme Mekanizmaları
Söz konusu ziyanlı yazılım, DoFun tarafından desteklenen Android tabanlı çeşitli multimedya ünitesi modellerinin eser yazılımına (firmware) entegre güncelleme sistemleri üzerinden dağıtıldı. Kaspersky, yazılım dağıtım sürecindeki bu berbata kullanım konusunda üreticiyi bilgilendirdi; DoFun yetkilileri ise sorunun giderildiğini bildirdi.
Bulaşma zinciri, olağan kurallarda tahlil datalarını toplamak ve multimedya ünitesinin yazılımını güncellemekle misyonlu “TWCore” isimli yasal bir sistem uygulaması üzerinden başlıyor. TWCore, üreticinin sunucusundan hangi uygulamaların yüklenmesi yahut güncellenmesi gerektiğine dair talimatlar alıyor. Saldırganlar bu irtibat kanalını berbata kullanarak “JarService” isimli bir yükleyici (dropper) aracılığıyla daha evvel bilinmeyen ziyanlı yazılımları direkt araç ünitelerine iletti. Tespitten kaçınmak üzere karmaşık ve çok evreli olarak kurgulanan bu süreçte ziyanlı yazılım, sisteme standart bir kullanıcı uygulaması üzere yüklendi; lakin rastgele bir kullanıcı arayüzü barındırmadığı için arka planda fark edilmeksizin çalışmayı sürdürdü.
Kaspersky analistleri, saldırganların istenmeyen reklamlar görüntüleme, reklam sahtekarlığı gerçekleştirme ve ek ziyanlı modüller indirme yeteneğine sahip dokuz farklı komut tanımladığını saptadı. Saldırganların ayrıyeten ekran çözünürlüğü, cihaz modeli, bağlı Wi-Fi ağının kimliği ve aygıtın MAC adresi üzere aygıt ve ağ bilgilerini de ele geçirdiği belirlendi.
MoYu Group Bağlantısı
Kaspersky, bu kampanyayı daha önce TV alıcılarına (set-top box) yönelik gerçekleştirilen ataklarla karşılaştırarak kampanya ile BadBox botnetiyle alakalı MoYu Group arasındaki irtibatları ortaya çıkardı. Ayrıca botnetin idare panelinde tespit edilen, web sayfası kodlarına gömülü URL’ler üzere teknik izlerin, PXYEDGE ve ProxyForU üzere konut tipi proxy (residential proxy) hizmetleri sunan web sitelerindeki ögelerle örtüştüğü görüldü. BadBox botneti; Android TV kutuları, akıllı telefonlar ve tabletler üzere daha fabrikadan çıkmadan ziyanlı yazılımla enfekte edilmiş ele geçirilmiş aygıtlardan oluşan geniş ölçekli bir ağ olarak biliniyor. Saldırganlar bu bâtın arka kapıları kullanarak reklam sahtekarlığı yapıyor, data sızdırıyor ve konut ağlarını yasa dışı proxy trafiği aktarıcılarına dönüştürüyor.
Kaspersky Güvenlik Araştırmacısı Dmitry Kalinin, mevzuyla ilgili şu değerlendirmede bulundu: “Siber güvenlik uzmanlarının ve kolluk kuvvetlerinin BadBox botnet ağını çökertmeye yönelik tüm teşebbüslerine karşın, bu yapıyla bağlantılı aktörler dünya genelinde yeni aygıtlara sızarak berbat niyetli faaliyetlerini sürdürüyor. Bu tıp ziyanlı yazılımların yayılma yolları, fabrikasyon arka kapılardan güvenliği ihlal edilmiş IPTV uygulamalarına kadar giderek çeşitleniyor. İncelediğimiz bu son hadisede, yasal bir sistem uygulamasının yazılım güncelleme fonksiyonunu istismar eden çok daha gelişmiş bir dağıtım formülüne şahit olduk. Tehdit aktörleri tesir alanlarını kararlılıkla yeni platformlara genişletiyor. Bu tehdit, direkt araç sistemlerine nazaran kurgulanmış bir bulaşma zinciri üzerinden otomotiv multimedya ünitelerini amaç alan birinci ziyanlı yazılım olma özelliği taşıyor. Yaşananlar, çağdaş otomotiv platformlarının ziyanlı yazılımlara karşı kapsamlı ve güçlü bir müdafaaya ivedilikle gereksinim duyduğunu net bir biçimde gösteren önemli bir uyarıdır.”
Kaynak: (BYZHA) Beyaz Haber Ajansı
