Kaspersky şirketi Haziran 2026'da araçlara özel Android sistemlerine yönelik yeni bir kötü amaçlı yazılım keşfetti. Bu sistemler, araçların multimedia fonksiyonlarını ve bazı durumlarda aracın kontrol fonksiyonlarını bir araya getiren "head unit" adı verilen birimdir. Gizli çok aşamalı bir indirme programı olarak görülen bu kampanya, araçlardaki head unit birimlerine lanet zincirini kullanarak ilk kez belgelenmiş bir enfeksiyon vakasıdır.
Hedef, reklam dolandırıcılığı (AD fraud) ve diğer kötü amaçlı aktiviteler için çok aşamalı bir kötü amaçlı yazılımın kurulmasıdır. Kaspersky araştırmacıları, bu aktivitenin BadBox botnet ile bağlantılı bilinen MoYu Group grubuna atfedildiğini belirtti.
Araçlardaki head unit birimleri, fabrika tarafından monte edilebilir veya eski araçlara ek olarak takılabilir. Bu birimler genellikle kullanıcı arayüzlerini daha kolay uyarlamak ve temel sistem bileşenleri eklemek için Android işletim sistemini kullandıkları için, çoğu standart Android uygulaması -veya Android kötü amaçlı yazılımları- çalışabilir.
Head unit birimleri genellikle hassas kişisel verileri saklamazlar, ancak SIM kart yuvası ve internete sürekli erişim gibi özellikleri nedeniyle hedef haline gelebilirler. Bu bağlantı navigasyon ve yazılım güncellemeleri için kullanılır, bu da onları saldırganlar için potansiyel bir hedef haline getirir.
Kötü amaçlı yazılım, DoFun şirketinin ürettiği Android tabanlı birçok head unit biriminde bulunan yazılım güncelleme mekanizmalarını kullanarak dağıtılıyor. Kaspersky, üreticiyi bu kötüye kullanım hakkında bilgilendirmişti. DoFun'a göre sorun çözüldü.
Bu enfeksiyon zinciri, TWCore adlı bir sistem uygulamasıyla başlar. Bu uygulama başlangıçta head unit biriminin veri toplama ve yazılım güncellemelerini sağlamak için tasarlanmıştır. TWCore, üretici sunucusundan hangi uygulamaların head unit birimine yüklenmesi veya güncellenmesi gerektiği konusunda talimat alır.
Saldırganlar, bu kanalı, JarService adlı bir kötü amaçlı yazılım dağıtım programı kullanarak henüz bilinmeyen bir kötü amaçlı yazılımı doğrudan head unit birimlerine göndermek için kullandılar. Bu enfeksiyon süreci karmaşık ve çok aşamalıydı ve tespit edilmesini engellemeyi amaçlıyordu. Kötü amaçlı yazılım, normal bir kullanıcı uygulaması olarak kuruldu ancak kullanıcı arayüzü yoktu ve fark edilmeden arka planda çalışıyordu.
Kaspersky, saldırganların, istenmeyen reklamların gösterilmesi, reklam dolandırıcılığı yapılması ve ek kötü amaçlı modüllerin indirilip yüklenmesini sağlayan dokuz farklı komut uyguladıklarını belirledi. Saldırganlar ayrıca cihaz hakkında bilgi topladı, ekran çözünürlüğü, cihaz modeli, bağlı Wi-Fi ağının kimliği ve cihazın MAC adresi dahil olmak üzere.
Kaspersky, bu kampanyayı BadBox botnet ile bağlantılı MoYu Group grubuna bağladı. Bu bağlama, önceki TV set-top box cihazlarına yönelik saldırılara yapılan karşılaştırma dayanıyor.
BadBox botnet, fabrikalarından zaten kötü amaçlı yazılımlarla enfekte edilmiş Android cihazların büyük bir ağıdır - akış TV kutuları, telefonlar ve tabletler. Saldırganlar, bu gizli arka kapı erişimlerini (backdoors) reklam dolandırıcılığı, veri çalımı ve ev ağlarının yasadışı proksi trafiği için sunucular olarak kullanmak için kullanıyorlar.
"Siber güvenlik uzmanları ve yasal otoritelerin botnet BadBox'u ortadan kaldırma çabalarına rağmen, onunla bağlantılı bireysel aktörler zararlı aktivitelerine devam ediyor ve dünyanın dört bir yanındaki cihazları enfekte ediyor," dedi Kaspersky siber güvenliği uzmanı.
"Bu tür kötü amaçlı yazılımların dağıtım yöntemleri giderek daha çeşitli hale geliyor - önceden kurulmuş arka kapı erişimleri veya kompromite edilmiş IPTV uygulamaları. Bu araştırmamızda, daha sofistike bir dağıtım yöntemi gözlemledik; bu yöntem, sistem uygulamasının yazılım güncelleme işlevini kötüye kullanıyor."
"Zararlı aktörler aktif olarak yeni platformlar ele geçiriyor. Bu kötü amaçlı yazılım, araçlardaki head unit birimlerine yönelik ilk özel olarak tasarlanmış kötü amaçlı uygulama ve enfeksiyon zincirinin bu sistemlere özel olarak uyarlandığı anlamına geliyor. Bu, modern otomobil platformlarının acilen zararlı yazılımlara karşı sağlam korumaya ihtiyacı olduğunu gösteriyor," dedi Rade Furtula, Kaspersky'nin Doğu Avrupa satış müdürü.
