Sicherheitsforscher haben eine neue Schadsoftware entdeckt, die Android-basierte Autoradios und Infotainment-Systeme infiziert. Die Angreifer gehen dabei nicht über eine klassische Smartphone-App vor, sondern über die integrierte Update-Funktion bestimmter Autoradio-Firmwares.
Die Experten von Kaspersky bezeichnen den Fund als den ersten dokumentierten Fall einer speziell auf ein Android-Autoradio zugeschnittenen Infektionskette. Betroffen waren nach den Untersuchungen Geräte des Herstellers DoFun. Die Systeme werden häufig als Nachrüstlösungen eingesetzt und bieten neben Navigation und Unterhaltung auch Internetzugang, etwa über eine SIM-Karte oder ein verbundenes WLAN. Genau diese Verbindung macht sie für Kriminelle interessant: Ein infiziertes Gerät muss nicht unbedingt wertvolle persönliche Daten speichern, um für Angreifer nützlich zu sein.
Missbrauch einer Update-Funktion
Ausgangspunkt der Infektion war laut Kaspersky die legitime System-App TWCore. Sie sammelt Analysedaten und installiert Software-Updates. Eine Funktion der App erlaubte es jedoch, auch Anwendungen nachzuladen, die ursprünglich gar nicht auf dem Gerät vorhanden waren. Die Angreifer konnten diese Möglichkeit missbrauchen, um Schadsoftware im Hintergrund zu installieren.
Die erste Schadsoftware-Komponente hieß JarService. Sie besaß keine sichtbare Benutzeroberfläche und konnte deshalb unbemerkt auf dem Gerät arbeiten. Anschließend lud sie weitere Bestandteile von den Servern der Angreifer herunter. Die mehrstufige Vorgehensweise erschwert die Erkennung, weil nicht alle Funktionen in einer einzigen App enthalten sind.
Der Nutzer muss nicht auf einen verdächtigen Link klicken und auch keine unbekannte App manuell installieren. Wenn der Update-Mechanismus eines Geräts manipuliert oder unsicher konfiguriert ist, kann die Installation im Hintergrund erfolgen. Kaspersky meldete die Schwachstellen dem Hersteller, der die Verteilung inzwischen behoben haben soll.
Ziel: Werbebetrug und Proxy-Netz
Die Schadsoftware kann nach der Installation Werbeanzeigen aufrufen und damit künstliche Klicks erzeugen. Für die Betreiber entsteht dadurch ein finanzieller Vorteil, während das betroffene Gerät im Hintergrund Datenverkehr erzeugt und Ressourcen verbraucht.
Darüber hinaus kann die Schadsoftware das Autoradio in einen Teil eines sogenannten Proxy-Netzes verwandeln. Dabei wird die Internetverbindung des Geräts genutzt, um Datenverkehr für Dritte weiterzuleiten. Die Malware kann laut Analyse außerdem Geräteinformationen erfassen, darunter das Modell, die Bildschirmauflösung, die WLAN-Kennung und die MAC-Adresse. Über Fernbefehle lassen sich weitere Module nachladen, Webseiten öffnen oder Netzwerkverbindungen testen.
Verbindung zu BADBOX kommen vermutlich von MoYu Group
Die Experten schreiben die Aktivität mit hoher Wahrscheinlichkeit der MoYu Group zu. Die Gruppe wird mit der BADBOX-Schadsoftwareplattform in Verbindung gebracht. Ähnliche Komponenten waren zuvor in TV-Set-Top-Boxen beobachtet worden. Die Überschneidungen bei Infrastruktur und technischen Bezeichnungen stützen nach Angaben der Forscher die Zuordnung.
Der Fund der Experten zeigt, dass auch scheinbar unkritische Android-Geräte in Fahrzeugen zu einem Sicherheitsrisiko werden können. Für Unternehmen mit Fuhrparks sollten Autoradio- und Infotainment-Systeme deshalb in die Geräteverwaltung aufgenommen werden. Wichtig sind vor allem geprüfte Firmware-Quellen, sichere Update-Prozesse, eine möglichst eingeschränkte Internetverbindung und eine regelmäßige Kontrolle ungewöhnlichen Datenverkehrs. Die Experten stellen online einen technischen Artikel mit allen Hintergründen bereit.
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/
Passende Artikel zum Thema