車載ヘッドユニットを標的とするAndroidボットネット

Androidベースの車載ヘッドユニット（インフォテインメントシステム）を標的とした新しいマルウェアキャンペーンが発見されました。
これまで自動車関連のセキュリティインシデントといえば、メーカーのバックエンドインフラからのデータ流出や、セキュリティ研究者による概念実証（PoC）実験が主流でした。
しかし今回の事例は、サイバー犯罪者が実際の運用環境（in the wild）で車載システムを感染させ、広告詐欺やプロキシボットネットの構築に悪用している初の実用型マルウェア感染例として非常に注意が必要です。
特徴をみてみましょう。

• ファームウェア更新機能を悪用した自動感染（サプライチェーン攻撃）
  感染の起点となったのは、中国DoFun社製ソフトウェアを採用したヘッドユニットです。
  同社のソフトウェアは世界で3,000万台以上の車両に採用されています。
  攻撃者は、正当なシステムアプリである「TWCore」（自動アップデート用機能）を悪用し、ユーザの操作や介入を一切必要とせずに悪意のあるアプリをサイレントインストールさせます。
• 段階的な潜伏・実行プロセス（JarServiceドロッパーとダウンローダー）
  最初に挿入されるトロイの木馬ドロッパー「JarService」は、UI（操作画面）を持たない「空のアプリ」として動作するため、ドライバーが感染に気づくことはありません。
  暗号化されたペイロード（ダウンローダー）を復号して実行すると、攻撃者のC2（コマンド＆コントロール）サーバへ接続し、さらなる悪意のあるコードを取得・実行します。
• デバイス情報の収集と広告詐欺（クリッカー機能）
  ダウンロードされるペイロードの一つに「クリッカー」があります。
  感染した車両のモデル名、画面解像度、MACアドレス、接続中のWi-Fiネットワーク情報などをC2サーバに送信しつつ、裏で不正なHTTPリクエストやWebページの閲覧を行わせることで、不正に広告表示回数を水増し（広告詐欺）します。
• 住宅用プロキシ（Residential Proxy）ボットネットへの組み込み（zhimaモジュール）
  さらに、攻撃者は「zhima」と呼ばれるモジュールを導入し、車載ヘッドユニットをボットネットの一部へ組み込みます。
  このボットネットは「BADBOX」プラットフォームに関連する脅威グループ「MoYu Group」によって運営されているとみられ、奪った車載機器のIPアドレスを経由させて他者へ通信を中継する「住宅用プロキシサービス（PXYEDGEやProxyForUなど）」として商業販売・収益化されています。
• 車両のパフォーマンス低下と通信遅延への影響
  このマルウェアはブレーキやステアリングといった走行安全系システム（CANバス等）を直接操作するわけではありませんが、ヘッドユニットのCPUやメモリ資源を消費します。
  これにより、ナビゲーションやインフォテインメント機能の動作が鈍くなったり不審に停止したりするほか、通信帯域が中継処理で圧迫されて車内通信速度が著しく低下するなどの影響が及ぶ可能性があります。

今回の事例は、テレビのセットトップボックスから自動車のインフォテインメントシステムに至るまで、インターネットに接続されたあらゆるスマート機器がサイバー犯罪者の「計算資源」として狙われている実態を明確に示しています。
自動車が高度にコネクテッド化し、汎用OSであるAndroidを採用する動きが進む中で、車載デバイスに対するサイバー脅威はもはや概念実証ではなく現実のものとなっています。

特に車載システムにおいては、一般の利用者が自力で講じられる直接的な対策が極めて少ないという深刻な課題が存在します。
PCやスマートフォンのようにユーザがセキュリティソフトを導入したり、バックグラウンドの異常通信を検知したりすることは構造上困難であり、今回のように正規のアップデート機能が悪用された場合、利用者の注意だけで感染を防ぐことは不可能です。
利用者にできる対応は、画面の動作遅延などの異変に気付いた際にディーラー等へ相談する、あるいはメーカーから提供される修正アップデートを速やかに適用すること等に限られます。

そのため、こうした脅威への防御責任は、車載ソフトウェアの開発元や自動車メーカー側の「設計段階からのセキュリティ確保（Security by Design）」に重く委ねられています。
今回の事例では、Kasperskyからの通知を受けたデベロッパーのDoFun社によって迅速に脆弱性の修正対処がなされましたが、今後もサプライチェーンにおける配信メカニズムの保護や、開発・供給側による包括的なセキュリティ監視体制の強化が不可欠となります。

Botnet on the road: the first trojan for car head units
https://www.kaspersky.com/blog/car-botnet-malware-for-head-units-with-android/56296/