محققان تیم GReAT کسپرسکی برای اولین‌بار یک بدافزار اندرویدی مستند را شناسایی کرده‌اند که به‌طور اختصاصی سیستم‌های «هد یونیت» (head unit) خودروهای مبتنی بر اندروید را هدف قرار می‌دهد. این بدافزار به‌جای سرقت مستقیم اطلاعات، برای کلاهبرداری تبلیغاتی (ad fraud) و جذب دستگاه‌ها به یک بات‌نت پراکسی ساخته شده و از مسیر کاملاً معتبر به‌روزرسانی فریمور روی دستگاه نصب می‌شود.

چیستی تهدید و پیش‌زمینه فنی

هدف این کمپین، هد یونیت‌های اندرویدی برند DoFun بوده است. مهاجمان اپلیکیشن سیستمی و مشروع TWCore — که مسئول آنالیتیکس و به‌روزرسانی فریمور روی این دستگاه‌هاست — را سلاح کرده‌اند. این اپلیکیشن از طریق دستورات ارسالی با پروتکل MQTT از سرور cardoor[.]cn فرمان می‌گیرد و به‌لطف یک پرچم پیکربندی به‌نام installNotExists، اجازهٔ نصب اپلیکیشن‌هایی را می‌دهد که پیش از این روی دستگاه وجود نداشته‌اند. فایل‌های APK مخرب در مسیر <TWCore external cache dir>/push/apk/ دانلود و اجرا می‌شوند.

زنجیرهٔ آلودگی سه‌مرحله‌ای

• مرحله ۱ — دراپر JarService: اپلیکیشنی بدون رابط کاربری که payload رمزنگاری‌شده را با XOR و کلیدهای تک‌بایتی متغیر رمزگشایی می‌کند.
• مرحله ۲ — لودر مخرب: اطلاعات دستگاه (شناسهٔ کاربر، نسخهٔ dex، شناسهٔ کانال، نام و نسخهٔ اپلیکیشن) را با درخواست POST به سرور فرمان‌و‌کنترل می‌فرستد و آدرس دانلود payload مرحلهٔ بعد را دریافت می‌کند. تاکنون هفت نسخهٔ متفاوت از این مرحله شناسایی شده است.
• مرحله ۳ — کلیکر و پراکسی معکوس: هر ۹۰ دقیقه یک‌بار با سرور فرمان تماس می‌گیرد و مشخصات دستگاه (رزولوشن، مدل، SSID وای‌فای، آدرس MAC) را ارسال می‌کند. این ماژول در مجموع ۹ دستور از جمله اجرای کد جاوااسکریپت در WebView، دستکاری کلیپ‌بورد، اجرای درخواست HTTP دلخواه و دانلود ماژول‌های اجرایی جدید (loadlib2) را پیاده‌سازی کرده است. ماژول پراکسی معکوس به‌نام «zhima» از همین مسیر روی دستگاه نصب می‌شود و آن را به بخشی از یک بات‌نت پراکسی مسکونی تبدیل می‌کند.

کسپرسکی این کمپین را به گروه موسوم به MoYu مرتبط دانسته — همان گروهی که پیش‌تر با بات‌نت شناخته‌شدهٔ BADBOX در ارتباط بوده است. شواهد این ارتباط شامل نام‌گذاری یکسان ریسمان‌های اجرایی، اپلیکیشن‌های مشترک روی گیرنده‌های تلویزیونی و زیرساخت فرمان‌و‌کنترل مشترک است.

چرا این تهدید برای سازمان‌ها و کاربران ایرانی مهم است؟

سیستم‌های هد یونیت اندرویدی و باکس‌های آفترمارکت اندروید در بازار ایران بسیار رایج هستند و اغلب بدون هیچ نظارت امنیتی سازمانی به شبکهٔ وای‌فای خانه، محل کار یا حتی خودروهای سازمانی و ناوگان‌های حمل‌ونقل متصل می‌شوند. از آنجا که این بدافزار از مسیر «به‌روزرسانی رسمی فریمور» وارد دستگاه می‌شود، کاربر یا مدیر شبکه معمولاً هیچ هشداری دریافت نمی‌کند؛ درحالی‌که دستگاه آلوده می‌تواند به‌عنوان یک نقطهٔ پراکسی برای عبور ترافیک مخرب دیگران از شبکهٔ سازمان استفاده شود و اعتبار IP سازمان را در فهرست‌های سیاه قرار دهد. برای شرکت‌های دارای ناوگان خودرویی یا اپراتورهای تاکسی و حمل‌ونقل هوشمند، این موضوع یک ریسک ناشناختهٔ زنجیرهٔ تأمین (Supply Chain) محسوب می‌شود.

نشانه‌های هشدار (IOC)

دامنه‌های فرمان‌و‌کنترل:
cardoor[.]cn، xmsae[.]sbs، ishano456[.]sbs، xshaon123[.]sbs، kshahnd[.]sbs، mdsjhd[.]sbs، nmnsny[.]sbs، kookjar[.]com، ty54fgd435[.]my، ue886578433[.]online، ty4523[.]space، admin.uipoxy[.]com

آدرس‌های IP فرمان‌و‌کنترل:
144.217.243[.]201 (میزبانی payload) — 107.151.248[.]132 (کنترل ماژول zhima) — 128.14.210[.]58 (پنل مدیریت و کنترل zhima)

نمونه‌ای از هش‌های فایل مخرب (MD5):
ba27951b4ee1c341f4415d033369ecd3، d63bacd6d6709dd68a10ef9d374c7835، e9f3a0dab6949ce2cddab9e0aa80ae1a، 0fbaa7092204f4b1494e0b840b014774، de77c3303e93c9450424759f1741441c

نام‌های شناسایی کسپرسکی:
HEUR:Trojan-Dropper.AndroidOS.Agent.vu، HEUR:Trojan-Downloader.AndroidOS.Agent.ov، HEUR:Trojan-Proxy.AndroidOS.Zhima.*، HEUR:Trojan.AndroidOS.Vo1d.*

توصیه‌های عملی

1. بررسی منبع فریمور: پیش از خرید هد یونیت یا باکس آفترمارکت اندرویدی برای ناوگان یا خودروهای سازمانی، از عرضه‌کنندهٔ معتبر و دارای سابقهٔ به‌روزرسانی امن اطمینان حاصل کنید.
2. جداسازی شبکه (Network Segmentation): دستگاه‌های IoT و اندرویدی مانند هد یونیت را در یک شبکهٔ وای‌فای مهمان جدا از شبکهٔ اصلی سازمان قرار دهید.
3. غیرفعال‌سازی نصب خودکار اپلیکیشن: در صورت امکان، گزینه‌های نصب خودکار اپلیکیشن از منابع ناشناس در تنظیمات دستگاه را غیرفعال کنید.
4. پایش ترافیک شبکه: ترافیک خروجی غیرعادی یا تماس دوره‌ای با دامنه‌های ناشناس از سمت دستگاه‌های متصل به شبکهٔ سازمان را با راهکارهای NDR/فایروال پایش کنید.
5. اعمال IOCها در تجهیزات امنیتی: دامنه‌ها و IPهای فوق را در فایروال، DNS Sinkhole یا SIEM سازمان مسدود و پایش کنید.

جمع‌بندی

این کشف نشان می‌دهد سطح حملهٔ بدافزارها دیگر محدود به گوشی و کامپیوتر نیست و اکوسیستم اندرویدی نصب‌شده در خودروها، تلویزیون‌ها و سایر تجهیزات هوشمند نیز هدف جدی مهاجمان قرار گرفته است. برای سازمان‌هایی که ناوگان خودرویی یا تجهیزات اندرویدی متصل به شبکه دارند، ارزیابی امنیتی این دستگاه‌ها و استفاده از راهکارهای مانیتورینگ شبکه مانند Kaspersky Next XDR باید در اولویت قرار گیرد. جزئیات کامل فنی این تحلیل در مقالهٔ اصلی کسپرسکی روی Securelist در دسترس است.

مشاوره امنیتی رایگان با کارشناسان فدک رایان

اگر سازمان یا ناوگان شما از دستگاه‌های اندرویدی متصل به شبکه (هد یونیت، تجهیزات IoT یا سیستم‌های هوشمند) استفاده می‌کند و نگران ریسک‌های امنیتی این تجهیزات هستید، کارشناسان فدک رایان آماده ارزیابی و ارائهٔ راهکار متناسب با زیرساخت شما هستند. برای دریافت مشاورهٔ تخصصی، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید.