Votre voiture se transforme en botnet : voici le premier trojan conçu pour Android Auto

Des chercheurs de Kaspersky ont détecté un logiciel malveillant capable d’infecter les autoradios connectés du fabricant chinois DoFun, puis de les intégrer à un réseau de machines détournées au profit de pirates informatiques. Le programme exploite le mécanisme de mise à jour intégré de ces appareils, utilisés par des millions d’automobilistes, sans le consentement des propriétaires.

Avec sa propre mémoire et sa capacité à installer des applications, une tête de lecture automobile embarque un système Android complet. Android Auto n’en est qu’une fonction, la projection de l’écran d’un smartphone sur celui de la voiture. Chez DoFun, fabricant chinois de ce type d’appareils, une application préinstallée, TWCore, distribue les mises à jour de ce système depuis un serveur basé en Chine. Dans cette application, un paramètre, installNotExists, échappe aux vérifications d’installation et laisse passer des fichiers sans l’accord du conducteur.

Les chercheurs de Kaspersky ont repéré cette faille en juin, pendant une surveillance courante des logiciels malveillants Android, sans avoir jusque-là recensé de chaîne d’infection propre à ce type d’appareil embarqué.

Une chaîne d’infection composée de trois programmes

D’après DoFun, 30 millions de propriétaires dans le monde possèdent des véhicules équipés de ses têtes de lecture.

Une fois installé par TWCore, le module JarService déchiffre une charge utile protégée par une clé glissante et contacte un serveur de commande et de contrôle.

Celui-ci répond avec un second programme, chargé de collecter l’identifiant de l’appareil, sa version logicielle et son forfait de mise à jour. Avec une clé décalée sur quatre octets, ce programme chiffre par ailleurs sa communication. Pour les outils de sécurité, cette précaution complique l’analyse du trafic.

En retour, le serveur transmet l’adresse d’un troisième composant, le module zhima. Ce module interroge le serveur toutes les 90 minutes et exécute les instructions transmises.

Neuf commandes sont recensées au total, de la requête HTTP simple au téléchargement de code arbitraire via la commande loadlib2, la plus employée, comme l’indique le rapport technique de Kaspersky.

Les autoradios infectés alimentent un marché de proxies résidentiels

Le module zhima intègre chaque autoradio infecté aux services PXYEDGE et ProxyForU, deux plateformes de revente d’accès à des proxies résidentiels. Par ces canaux, le trafic de clients extérieurs transite via la connexion des appareils compromis, notamment pour la fraude publicitaire et d’autres activités malveillantes. Dans ce troisième étage également, le module clicker sert des publicités et simule des clics automatiques, au profit des pirates responsables de la campagne.

Le conducteur constate juste que l’appareil ralentit et la connexion Internet embarquée perd sensiblement en vitesse. Le botnet détourne vers son propre trafic une partie des ressources de traitement du système.

L'’an dernier, en juin, le FBI a averti que le botnet Badbox 2.0 avait infecté plus d’un million d’appareils Android non certifiés dans 222 pays et territoires, systèmes multimédias automobiles compris, aux côtés des téléviseurs connectés et des tablettes bon marché.

Kaspersky attribue au groupe MoYu la campagne dirigée contre DoFun, avec une confiance élevée. L’éditeur fonde cette attribution sur un chevauchement d’infrastructure entre Badbox et un logiciel malveillant repéré sur des boîtiers TV, une piste confirmée de façon indépendante par l’équipe Nokia Deepfield Emergency Response.

Au-delà de ce cas, les géants du Web surveillent aussi le marché des proxies résidentiels. Google a annoncé, le 3 juillet, avoir démantelé un réseau lié à NetNut, également connu sous le nom Popa, avec environ 2 millions d'appareils domestiques enrôlés à l’insu de leurs propriétaires. Cette opération était la troisième menée par l’entreprise contre ce type de réseau en un an, après Badbox 2.0 et IPIDEA.

L'’éditeur de sécurité a averti DoFun de ces failles avant de publier ses conclusions techniques hier. Le fabricant les a depuis corrigées.