Mã độc biến màn hình Android ô tô thành botnet

Kaspersky phát hiện một dòng mã độc nhắm vào firmware của các màn hình thông tin giải trí ô tô chạy Android do DoFun phát triển. Theo The Hacker News, mã độc lợi dụng cơ chế cập nhật tích hợp để cài module JarService, sau đó thực hiện ad fraud và tải proxy ngược Zhima.

Đây không phải câu chuyện về một app Android lén hiển thị quảng cáo. Điểm đáng ngại là đường xâm nhập nằm trong lớp cập nhật của hệ thống giải trí trên xe, nơi người dùng gần như không có khả năng kiểm tra thứ gì đang được cài vào firmware.

Updater bị biến thành cửa hậu

Chuỗi lây nhiễm được phát hiện khai thác các built-in updater trên thiết bị head unit Android của DoFun. Sau khi cấy được JarService, mã độc có thể hoạt động âm thầm trong hệ thống thay vì phụ thuộc vào một ứng dụng người dùng tự cài.

Module này phục vụ hoạt động gian lận quảng cáo, đồng thời tải về module reverse proxy Zhima. Kết quả là màn hình giải trí trên ô tô bị biến thành một nút trong mạng botnet proxy thương mại mà chủ xe không biết.

Rủi ro nằm ở chuỗi cung ứng firmware

Phát hiện của Kaspersky đặt dấu hỏi lớn về an toàn firmware trên các thiết bị connected car dùng Android. Màn hình infotainment không đồng nghĩa với hệ thống điều khiển xe, và dữ liệu được công bố không nói mã độc này can thiệp vận hành phương tiện. Nhưng một thiết bị gắn cố định trên xe, có kết nối mạng và có updater bị lạm dụng vẫn là tài nguyên hấp dẫn cho bên vận hành botnet.

Theo tôi, cụm từ “ô tô thông minh” thường được dùng quá dễ dãi, trong khi phần ít được soi nhất lại là firmware từ các nhà cung cấp head unit. Nếu kênh cập nhật không đáng tin, tính năng kết nối có thể trở thành hạ tầng kiếm tiền ngầm cho kẻ khác.

Điều thị trường cần nhìn thẳng

Vụ việc cho thấy rủi ro không dừng ở một hãng app hay một người dùng thiếu cảnh giác. Nó nằm ở cách nhà sản xuất phần cứng tích hợp, phân phối và kiểm soát cập nhật hệ thống. Với thiết bị Android trên xe, updater cần được xem là thành phần bảo mật trọng yếu, không phải tiện ích kỹ thuật ở hậu trường.

• Kaspersky phát hiện mã độc nhắm firmware head unit Android do DoFun phát triển.
• Mã độc lạm dụng built-in updater để cài module JarService.
• Hoạt động được ghi nhận gồm ad fraud và tải reverse proxy Zhima.
• Thiết bị bị nhiễm có thể bị đưa vào mạng botnet proxy thương mại mà người dùng không hay biết.
• Vấn đề cốt lõi là an toàn chuỗi cung ứng và cơ chế cập nhật firmware trên thiết bị connected car.

Nguồn tham khảo: The Hacker News