Un attacco alla supply chain ha colpito le autoradio Android di DoFun, sfruttando un'app di aggiornamento legittima per diffondere un malware che trasforma i dispositivi in nodi proxy per botnet o li utilizza per frodi pubblicitarie.
Un sofisticato attacco alla supply chain ha preso di mira le autoradio basate su Android prodotte da DoFun, azienda cinese specializzata in software e hardware automotive. I ricercatori di Kaspersky hanno scoperto che un'app di aggiornamento legittima, TWCore, veniva sfruttata per scaricare un file APK malevolo, denominato JarService, che infetta i dispositivi e li arruola in una botnet proxy o li impiega per attività di ad fraud.
L'operazione, attribuita al gruppo MoYu già noto per la botnet BadBox, rappresenta il primo caso documentato di una catena di infezione malware progettata specificamente per le autoradio Android. Il malware riceve istruzioni tramite un server MQTT ospitato su cardoor.cn e, una volta attivato, decripta ed esegue un loader di seconda fase che comunica con un server di comando e controllo (C2) per scaricare ulteriori payload criptati.
Funzionalità e comandi del malware
Il payload finale raccoglie periodicamente informazioni sul dispositivo, come modello, risoluzione dello schermo, SSID Wi-Fi e indirizzo MAC, e riceve comandi dagli attaccanti. Tra le nove funzioni supportate figurano la lettura di dati da SharedPreferences, la copia di contenuti negli appunti, l'invio di richieste HTTP, l'apertura di URL in WebView con esecuzione di JavaScript, il download ed esecuzione di moduli aggiuntivi, l'apertura di risorse nel browser e il controllo della raggiungibilità di host tramite ping ICMP.
Secondo Kaspersky, il malware non interferisce con la guida o i sistemi critici del veicolo, ma è progettato per monetizzare i dispositivi infetti tramite frodi pubblicitarie e trasformandoli in nodi proxy residenziali.
Impatto e risposta delle aziende coinvolte
Gli analisti hanno rilevato che il modulo più frequentemente caricato è 'zhima', che trasforma l'autoradio in un nodo proxy della botnet, oltre a generare traffico web per attività di click fraud. Kaspersky ha informato DoFun delle proprie scoperte e l'azienda ha dichiarato di aver risolto il problema. Resta però da chiarire il vettore iniziale di compromissione, su cui sono in corso ulteriori accertamenti.
Questo episodio si inserisce in un contesto di crescente sofisticazione degli attacchi supply chain nel settore automotive e ricorda per certi aspetti le strategie adottate da gruppi ransomware come Clop, che ha recentemente sviluppato una web shell personalizzata per colpire server PTC Windchill sfruttando vulnerabilità critiche, come descritto in un nostro approfondimento recente sulle minacce emergenti.
