Aktualizator firmware'u staje się loaderem

Badacz Kaspersky, Dmitrij Kalinin, udokumentował pierwszą kampanię złośliwego oprogramowania stworzoną specjalnie dla systemów infotainment w samochodach, a jej punktem wejścia jest kanał aktualizacji, któremu każdy właściciel ufa domyślnie. Komponent o nazwie JarService działa jako loader: wykorzystuje wbudowany mechanizm aktualizacji firmware'u w systemach DoFun, produkowanych przez Shenzhen Driving Control Technology, aby wgrać na urządzenie drugi ładunek. Ponieważ kanał dystrybucji to własny proces aktualizacji producenta, infekcja wygląda jak zwykła konserwacja, a nie atak.

Gdy JarService zdobędzie przyczółek, instaluje moduł proxy i oszustw reklamowych o nazwie zhima. Od tego momentu urządzenie to już nie tylko ekran infotainment; to mały, stale połączony komputer, który wykonuje kod nigdy niezatwierdzony przez właściciela i trudny do wykrycia. Własne połączenie internetowe samochodu, przeznaczone do map, streamingu i diagnostyki, staje się zasobem, który jest odsprzedawany.

Samochód jeździ dalej, bo nic krytycznego dla bezpieczeństwa się nie zmienia

Złośliwe oprogramowanie nie dotyka kierownicy, hamulców ani żadnego innego systemu krytycznego dla bezpieczeństwa, i właśnie to ograniczenie sprawia, że kampanię tak trudno zauważyć. Porusza się wyłącznie w warstwie infotainment i łączności, tej części samochodu, która ma rozmawiać z internetem, uruchamiać aplikacje i przyjmować aktualizacje. Kierowca nie widzi żadnej kontrolki, żadnej innej reakcji hamulców, żadnego powodu do podejrzeń, bo nic się nie zmienia w tym, jak samochód jeździ.

Dokładnie to sprawia, że botnet złożony z domowych serwerów proxy jest atrakcyjny dla tego, kto nim zarządza. Zainfekowane urządzenie, które nadal działa bez zarzutu jako urządzenie, pozostaje cenne tak długo, jak nikt tego nie zauważa, a samochód, który nigdy nie zachowuje się niebezpiecznie, nie daje właścicielowi żadnego powodu, by sprawdzać, dosłownie czy w przenośni, co jego połączenie sieciowe robi w tle.

Indywidualni właściciele ledwo to zauważają, floty i dealerzy ponoszą ryzyko

Indywidualni właściciele są najmniej narażoną stroną w tej historii, ponieważ jeden zainfekowany samochód to tylko jeden węzeł zagubiony w botnecie o nieznanym rozmiarze, a nieco wolniejszy ekran infotainment łatwo złożyć na karb zwykłego zużycia. Operatorzy flot i dealerzy ponoszą rzeczywiste ryzyko, ponieważ to samo urządzenie DoFun, z tym samym firmware'em, siedzi za deską rozdzielczą każdego pojazdu, który otrzymują od tego dostawcy. Zainfekowana aktualizacja sprawia, że każdy samochód zbudowany na tej platformie staje się kandydatem do tej samej infekcji, a nie tylko ten jeden egzemplarz, który przypadkiem został skontrolowany.

Dealer, który sprawdził oprogramowanie urządzenia tylko raz, przy dostawie, nie ma wglądu w to, co zmieniło się przy dziesiątej, dwudziestej czy setnej aktualizacji przez powietrze od tamtej pory. Operator floty z setkami pojazdów dziedziczy ten sam martwy punkt na większą skalę: kontrola, która wydawała się wystarczająca pierwszego dnia, nic nie mówi o firmwarze, który działa dzisiaj.

BADBOX miał już swoją historię, zanim dostał koła

BADBOX to nie nowy botnet wymyślony na potrzeby tej kampanii; zespół badawczy Satori z HUMAN Security ujawnił już ten sam botnet złożony z domowych proxy na innych klasach urządzeń, w tym na przystawkach telewizyjnych, na długo zanim systemy infotainment w samochodach stały się jednym z jego celów. Wzorzec jest spójny między klasami urządzeń: zainfekowany sprzęt po cichu odsprzedaje własne połączenie internetowe jako domowy adres IP, dokładnie ten typ, za który płacą operacje oszustw reklamowych i inni nabywcy proxy, ponieważ wygląda jak zwykły ruch konsumencki, a nie serwer z centrum danych.

To, co zmieniło się wraz z tą kampanią, udokumentowaną około 21 i 22 sierpnia 2026 roku, to klasa urządzenia, nie model biznesowy. Botnet zbudowany z przystawek TV i botnet zbudowany z urządzeń samochodowych sprzedają to samo: przepustowość i reputację IP skradzione z urządzeń, których właściciele nadal wierzą, że pracują wyłącznie dla nich.

Rozwiązaniem jest audyt łańcucha aktualizacji, a nie placu dealera

Kanał aktualizacji dostawcy, a nie samochód stojący na placu dealera, jest miejscem, w którym naprawdę żyje ta kampania, ponieważ JarService wszedł przez własny mechanizm aktualizacji DoFun, a nie przez jakiekolwiek działanie kierowcy czy dealera. Sprawdzenie oprogramowania urządzenia tylko raz, w punkcie sprzedaży, kontroluje jedynie migawkę, która staje się nieaktualna w chwili nadejścia pierwszej aktualizacji przez powietrze. Kto skompromituje kanał aktualizacji dostawcy, zdobywa trwały przyczółek w każdym kolejnym pojeździe, po cichu, a ponowna kontrola urządzenia po dostawie tego kanału nie zamyka.

Ta lekcja wykracza poza jedną kampanię: każda flota lub dealer, który traktuje oprogramowanie pojazdu jak jednorazową inspekcję bezpieczeństwa, ufa łańcuchowi dostaw, którego nigdy naprawdę nie zweryfikował. Rozwiązaniem nie jest lepsze skanowanie samochodu na placu; to ciągły audyt samego łańcucha aktualizacji, przy każdym wdrożeniu, dopóki pojazd pozostaje połączony.

Czytaj dalej: Własny sukces Apple wysadził jej plan dostaw  |  Aplikacja Pac-Man wpuściła obcych do waszej sieci