Una nuova campagna di malware Android sta prendendo di mira le autoradio e le head unit basate su Android installate in auto, sfruttando un punto debole particolarmente insidioso: gli aggiornamenti software integrati nel firmware. Il caso riguarda firmware per head unit sviluppate da DoFun e mostra come un canale di update legittimo possa essere trasformato in un vettore di infezione per distribuire un downloader a più stadi, usato per ad fraud e per costruire una proxy botnet.
Le head unit moderne sono un hub centrale che gestisce funzioni multimediali e in alcuni casi controlli parziali del veicolo. La loro diffusione, sia su veicoli di serie sia su retrofit aftermarket, le rende un bersaglio interessante. Inoltre molte includono slot SIM per connettività dati, navigazione e aggiornamenti, offrendo ai criminali informatici un accesso stabile a Internet e un ambiente Android dove molte app standard possono funzionare senza modifiche.
La catena di compromissione parte da una app di sistema legittima usata per telemetria e aggiornamenti, capace di scaricare APK tramite un broker MQTT e salvarli in una directory di cache esterna prima dell’installazione. Gli attaccanti avrebbero abusato di questo meccanismo per distribuire un dropper chiamato JarService, progettato per eludere i controlli e avviare un loader. Il loader invia informazioni sul dispositivo a un server remoto con una richiesta HTTP POST e riceve in risposta un link per scaricare il payload successivo. I nomi dei payload includono un numero di versione, dettaglio che suggerisce un ciclo di rilascio continuo con varianti multiple.
Lo stadio finale si installa come app senza interfaccia e lavora in background. Comunica periodicamente con il server di comando e controllo per aggiornare configurazioni e ricevere comandi, mappati e memorizzati in formato JSON. Tra le funzionalità figurano apertura di pagine in WebView con esecuzione di JavaScript, richieste HTTP arbitrarie, download ed esecuzione di codice da URL e controlli di raggiungibilità di risorse. Alcuni comandi vengono usati per scaricare moduli aggiuntivi, incluso un componente di reverse proxy impiegato per trasformare i dispositivi infetti in nodi di una rete proxy.