Araç Multimedya Sistemlerinde Siber Saldırıların Çoğu Fiziksel Yakınlık Bile Gerektirmedi

Geçtiğimiz yıl kamuya açıklanan 494 otomotiv ve akıllı mobilite siber olayının yüzde 92’sinin uzaktan gerçekleştirildiği, vakaların yüzde 86’sında ise araca fiziksel yakınlığın gerekmediği belirtiliyor. Bu tablo, otomobillerin artık saldırganların uzaktan ulaşabileceği birer dijital hedefe dönüştüğünü gösteriyor. Kaspersky’nin Haziran ayında keşfettiği yeni kampanya ise bunun somut bir örneği olarak karşımıza çıkarıyor Önemle belirtmek gerekir ki bu saldırı, Android Auto’yu veya genel olarak Android tabanlı araçları değil, spesifik olarak Çinli otomotiv teknoloji sağlayıcısı DoFun’un ürettiği sonradan takılan (aftermarket) multimedya ünitelerini hedef alıyor.

Meşru Güncelleme Kanalı Nasıl Silahlandırıldı?

Saldırganlar, DoFun ünitelerinde yüklü meşru bir sistem uygulaması olan TWCore’un güncelleme mekanizmasını kötüye kullanıyor. TWCore normalde “cardoor[.]cn” alan adında barındırılan bir MQTT sunucusundan hangi dosyaların indirileceği bilgisini alıyor; ancak bu mesajdaki “installNotExists” adlı bir bayrak, cihazda önceden bulunmayan uygulamaların da zorla yüklenmesine izin veriyor. Saldırganlar bu açığı kullanarak “JarService” adlı, arayüzsüz ve kullanıcı etkileşimi gerektirmeyen bir yükleyici yerleştiriyor. Sürücünün sahte bir bağlantıya tıklaması veya korsan uygulama yüklemesi gerekmiyor; güncellemenin otomatik gerçekleşmesi bile yeterli olabiliyor. JarService, şifrelenmiş bir yükleyiciyi devreye sokuyor; bu da saldırganların komuta sunucusuyla iletişime geçerek üçüncü aşama zararlı yazılımı indiriyor. Kaspersky, bu üçüncü aşamanın enfekte sistemi her 90 dakikada bir komuta sunucusuyla iletişime geçirdiğini ve dokuz farklı komutu çalıştırabildiğini tespit etti; toplama sürecinde cihaz modeli, ekran çözünürlüğü, bağlı Wi-Fi ağı adı ve MAC adresi gibi bilgiler aktarılıyor.