Malware Android per head unit auto: scoperto nel sistema di aggiornamento di un’azienda cinese

—

Il primo malware Android pensato appositamente per i sistemi multimediali delle auto è stato scoperto da Kaspersky, diffondendosi attraverso un’app preinstallata su dispositivi del marchio DoFun. L’attacco ha sfruttato una falla nel sistema di aggiornamento ufficiale, trasformando i dispositivi in nodi di una rete proxy, collegati con alta probabilità al gruppo dietro BADBOX. Il rischio riguarda soprattutto gli head unit aftermarket economici, installati come accessori dopo l’acquisto dell’auto.

Un’infrastruttura reutilizzata su dispositivi diversi

Il malware, denominato “zhima”, è stato individuato in modo indipendente anche su decoder televisivi dal team di ricerca di Nokia Deepfield, segno che la stessa infrastruttura viene riusata su categorie diverse di dispositivi. Questo indica una strategia di attacco mirata a sfruttare le caratteristiche comuni di dispositivi connessi a internet, come head unit, telecamere e altri oggetti IoT. Il modulo proxy, in grado di far passare traffico internet di terzi, è stato installato sfruttando una falla nell’app TWCore, legittima e preinstallata sui dispositivi DoFun.

Il malware è entrato nei dispositivi sfruttando una falla nell’app TWCore, che permetteva di installare applicazioni non presenti prima sul dispositivo, non solo di aggiornare quelle già installate. Il processo è avvenuto in più passaggi, con componenti cifrati per rendere più complessa l’analisi. L’ultimo passaggio ha installato un modulo in grado di trasformare il dispositivo in un nodo di una rete proxy, un meccanismo già visto in precedenti campagne di attacco.

Il malware non punta a dati sensibili, ma a generare traffico fraudolento.

Un rischio crescente per i dispositivi connessi

Il rischio principale riguarda gli head unit montati come accessori economici, spesso prodotti da marchi poco conosciuti. Questi dispositivi, spesso basati su Android, sono sempre accesi, sempre connessi a internet e poco controllati, rendendoli bersagli ideali per costruire reti di dispositivi infetti. Kaspersky ha segnalato la falla a DoFun, che ha corretto il sistema di aggiornamento, ma non è chiaro quanti dispositivi siano stati coinvolti o se gli utenti già colpiti siano stati avvisati. Il caso apre un precedente: è la prima volta che si documenta un malware pensato appositamente per i sistemi multimediali delle auto. Gli esperti sottolineano che, da qui in avanti, questi dispositivi meriteranno maggiore attenzione, soprattutto per la loro connettività e la loro utilità come nodi di rete. Chi possiede un head unit Android dovrebbe verificare che riceva ancora aggiornamenti dal produttore e diffidare delle unità troppo economiche di marchi poco conosciuti.

La sicurezza dei dispositivi connessi deve diventare una priorità.