arabalar
Haziran 2026’da, Android tabanlı araç ana ünitelerini hedef alan alışılmadık yeni bir zararlı yazılım keşfettik. Bu, otomatik aygıt yazılımı güncelleme hizmeti yoluyla otomotiv ana ünitelerine zararlı yazılımın bulaştırıldığı ilk belgelenmiş vakadır. Otomotiv sektöründeki siber olayları daha önce pek çok kez ele aldık; ancak bunlar genellikle ya üreticilerin dijital altyapısındaki veri sızıntılarıyla ya da güvenlik araştırmacılarının yaptığı deneylerle ilişkilendirilmişti.
Ancak bu olay, siber suçluların geniş çapta yaydığı bir zararlı yazılımla ilgilidir. Amaçları, reklam dolandırıcılığı ve virüs bulaşmış araç ana ünitelerinden oluşan bir proxy botnet ağı oluşturmaktır. Bu makalede, ana ünitenin ne olduğunu, saldırganların bu cihazlara tam olarak nasıl virüs bulaştırdığını ve bunun sürücüler için ne anlama gelebileceğini açıklıyoruz.
Araç ana ünitesi nedir?
Öncelikle, bir araç ana ünitesinin aslında ne olduğunu açıklığa kavuşturalım. Bu terim kulağa teknik gelebilir, ancak gerçekte çoğu sürücü arabasını her kullandığında bununla etkileşime girer. Ana ünite, aracın bilgi-eğlence sistemidir; genellikle navigasyon, müzik ve diğer araç işlevlerini kontrol etmek için kullanılan bir ekranın etrafında şekillenir. Modern otomobillerde, ana üniteler genellikle internete bağlıdır.
Üreticiler, araç ana üniteleri için işletim sistemi olarak sıklıkla Android’i kullanır. Bunun bir nedeni de basitliktir, zira Android, araç ana ünitelerindeki kullanım senaryolarını destekleyecek şekilde tasarlanmıştır ve bu da bir dizi avantaj sağlar:
- Arabirimi kişiselleştirmek için geniş seçenekler
- Kolay uygulama geliştirme
- Kendi sistem uygulamalarını ve bileşenlerinizi ekleyebilme
- Mevcut geniş bir uygulama ekosistemi
Ancak, bu avantajların aynı zamanda riskler de yaratması kaçınılmazdır; çünkü söz konusu uygulamalar meşru değil, kötü amaçlı olabilir. İşte burada da tam olarak bu oldu: Saldırganlar, kötü amaçlı bir uygulama kullanarak arabaları bir botnetin parçası haline getirdiler. Peki bunu nasıl başardılar?
Saldırganlar araç ana ünitelerine nasıl virüs bulaştırıyor ve hangi zararlı yazılımları kullanıyorlar?
Öncelikle, bu zararlı yazılımın tüm ana üniteleri etkilemediği, yalnızca Çinli DoFun şirketi tarafından geliştirilen yazılımı kullanan sistemleri etkilediği belirtilmelidir. Şirket, Android tabanlı otomotiv bilgi-eğlence sistemleri için aygıt yazılımı, uygulamalar ve bulut hizmetleri geliştirmekte ve web sitesinde verilen bilgilere göre, dünya çapında 30 milyondan fazla araç sahibine hizmet vermektedir.
Saldırganlar, zararlı yazılımı bir aracın bilgi-eğlence sistemine yerleştirmek için, DoFun ana ünitelerindeki yazılım güncellemelerinden sorumlu olan ve yasal bir sistem uygulaması olan TWCore’u kullanıyorlar. Normal şartlar altında, TWCore, cihaza indirilmesi ve yüklenmesi gereken dosyalar hakkında bilgileri geliştiricinin bulut hizmetinden alır. Bunlar öncelikle ana ünitede halihazırda yüklü olan yazılımlar için güncellemelerdir, ancak aynı yöntem tamamen yeni uygulamaları yüklemek için de kullanılabilir. Saldırganlar tam da bunu istismar ediyor: TWCore’u kullanarak JarService’i (kötü amaçlı bir Truva atı dağıtıcı programı) ana üniteye yüklüyorlar.
JarService, esasen “boş” bir uygulamadır. Yani, bir arabirim yoktur ve yasal bir hizmetmiş gibi görünmeye çalışmaz. Bu durumda bir arabirimin bulunmaması son derece mantıklıdır: Saldırganların, kullanıcıyı zararlı yazılımı manuel olarak yüklemeye ikna etmesine gerek yoktur ve hiçbir kullanıcı etkileşimi gerekmez.
JarService kodu, şifrelenmiş biçimde bir sonraki aşamadaki yükün yanı sıra, sürümü ve giriş noktası hakkındaki bilgileri de içerir. JarService’in görevi, bu verilerin şifresini çözmek ve virüs bulaşmasının bir sonraki aşaması olan kötü amaçlı bir indirme programını başlatmaktır. İndirme programı çalıştırıldığında, saldırganların komuta ve kontrol (C2) sunucusuna bağlanır ve yüklü zararlı yazılımla ilgili bilgileri bu sunucuya gönderir. Buna yanıt olarak, sunucu bir sonraki aşamadaki yük dosyasına bir bağlantı sağlar. İndirme programı, yükü alır, şifresini çözer ve çalıştırır.
Bu durumda, zararlı yazılım, reklam gösterim sayılarını hileli bir şekilde şişirmek için kullanılan ve “clicker” olarak bilinen bir tür zararlı yazılımı yükler. Çalışmaya başladığında, zararlı yazılım düzenli olarak C2 sunucusuyla iletişim kurar ve virüs bulaşmış cihazla ilgili bilgileri (model, ekran çözünürlüğü, MAC adresi ve bağlı Wi-Fi ağının ayrıntıları dahil) bu sunucuya gönderir. Buna karşılık, zararlı yazılım saldırganlardan çeşitli komutlar alabilir. Örneğin, HTTP talepleri gönderebilir ve web sayfalarını açabilir. Ancak en önemlisi, saldırıya uğrayan aracın bilgi-eğlence sistemine ek zararlı kodlar indirip çalıştırabilmesidir.
Saldırganlar bu özelliği, zhima adlı kötü amaçlı bir modülü yüklemek için kullanır; bu modül, virüs bulaşmış ana üniteyi bir botnete ekler. Ortaya çıkan botnet, sözde bir konut proxy hizmetini desteklemekte ve saldırganların saldırılarını ve diğer kötü niyetli faaliyetlerini yürütürken trafiğini virüs bulaşmış cihazlar üzerinden yönlendirmelerine olanak sağlamaktadır.
Bu zararlı yazılımın arkasında kim var ve saldırganlar neyi amaçlıyor?
Saldırganlar, öncelikle bot ağlarını genişletmek amacıyla araç ana ünitelerine zararlı yazılım bulaştırıyor. Kaspersky uzmanları tarafından yürütülen bir araştırma, söz konusu operasyonun BADBOX adlı kötü amaçlı platformla ve daha spesifik olarak bu platformla bağlantılı tehdit aktörlerinden biri olan MoYu Group ile ilişkili olduğunu ortaya koydu. Zararlı yazılımın kodundaki ipuçları ve daha önce MoYu Grubu’na atfedilen altyapıyla görülen örtüşmeler, grubun bu olayla ilgisi olduğuna işaret ediyor. BADBOX; Android cihazlarına virüs bulaşmasını ve bu cihazların kaynaklarını gizlice istismar etmeyi merkezine alan, bir dizi kötü niyetli faaliyeti bir araya getirir.
Saldırganlar daha sonra, başka kişilere ait kaynaklara erişimi paraya çevirerek kazanç elde ederler. Botnet altyapısını araştırırken, uzmanlarımız MoYu Group ile konut tipi proxy hizmetleri sunan PXYEDGE ve ProxyForU hizmetleri arasında bağlantılar tespit etti. Bu hizmetler, dünyanın dört bir yanındaki müşterilerin internet trafiğini botnete bağlı cihazlar üzerinden yönlendirmelerine ve böylece bu cihazların IP adreslerini kullanarak internete erişmelerine olanak tanır. Bu durum, virüs bulaşmış araç ana ünitelerinin halihazırda bu altyapının bir parçası olarak kullanılıyor olabileceğini akla getiriyor.
Bu zararlı yazılım kullanıcıları nasıl etkiliyor?
Her şeyden önce, zararlı yazılım, ana ünitenin bilgi işlem kaynaklarının bir kısmını tüketir. Ek yük, aracın bilgi-eğlence sisteminin daha yavaş veya düzensiz çalışmasına neden olabilir. Aynı zamanda, saldırganların bu cihaz üzerinden önemli miktarda trafiği yönlendirebileceği için, virüs bulaşmış cihazın internet bağlantı hızının da düşme olasılığı oldukça yüksektir.
Ayrıca, zararlı yazılımın yeteneklerinin yalnızca proxy işlevselliği sağlamakla sınırlı olmadığı da belirtilmelidir. Saldırganlardan komut alabilir ve ek kötü amaçlı kodları indirip çalıştırabilir. Sonuç olarak, bir virüs bulaşmasının sonuçları, botnet operatörlerinin cihaza hangi yükü yüklemeye karar verdiklerine bağlı olarak değişiklik gösterebilir.
Sonuç
Bu olay, televizyon set üstü kutularından araç bilgi-eğlence sistemlerine kadar her türlü internete bağlı cihaza yönelik saldırıların sadece teorik bir mesele olmadığını, aksine tam anlamıyla bir gerçeklik olduğunu bir kez daha ortaya koymaktadır. Saldırganlar sürekli olarak kaynaklarını kendi amaçları için istismar edebilecekleri yeni cihazlar ararlar; bu nedenle zararlı yazılım koruması artık bilgisayarlar ve akıllı telefonların çok ötesinde bir önem taşımaktadır.
Uzmanlarımız, tespit ettikleri zararlı yazılım dağıtım yöntemiyle ilgili olarak yazılım geliştiricisini bilgilendirdi; bunun üzerine yazılım geliştiricisi, ortaya çıkan güvenlik sorunlarını giderdi.
Bu zararlı yazılımın kapsamlı bir teknik analizi Securelist‘te yayınlanmıştır.
Saldırganlar bir arabayı ele geçirmek için başka hangi yöntemleri kullanabilir ve bu yöntemler sürücüler için ne gibi riskler oluşturur? Daha fazlasını yazılarımızda okuyun:
İpuçları