Votre voiture se transforme en botnet : voici le premier trojan conçu pour Android Auto

Des chercheurs de Kaspersky ont détecté un logiciel malveillant capable d’infecter les autoradios connectés du fabricant chinois DoFun, puis de les intégrer à un réseau de machines détournées au profit de pirates informatiques. Le programme exploite le mécanisme de mise à jour intégré de ces appareils, utilisés par des millions d’automobilistes, sans le consentement des propriétaires.

Avec sa propre mémoire et sa capacité à installer des applications, une tête de lecture automobile embarque un système Android complet. Android Auto n’en est qu’une fonction, la projection de l’écran d’un smartphone sur celui de la voiture. Chez DoFun, fabricant chinois de ce type d’appareils, une application préinstallée, TWCore, distribue les mises à jour de ce système depuis un serveur basé en Chine. Dans cette application, un paramètre, installNotExists, échappe aux vérifications d’installation et laisse passer des fichiers sans l’accord du conducteur.

Les chercheurs de Kaspersky ont repéré cette faille en juin, pendant une surveillance courante des logiciels malveillants Android , sans avoir jusque-là recensé de chaîne d’infection propre à ce type d’appareil embarqué.

D’après DoFun, 30 millions de propriétaires dans le monde possèdent des véhicules équipés de ses têtes de lecture.

Une fois installé par TWCore, le module JarService déchiffre une charge utile protégée par une clé glissante et contacte un serveur de commande et de contrôle.

Celui-ci répond avec un second programme, chargé de collecter l’identifiant de l’appareil, sa version logicielle et son forfait de mise à jour. Avec une clé décalée sur quatre octets, ce programme chiffre par ailleurs sa communication. Pour les outils de sécurité, cette précaution complique l’analyse du trafic.

Android Auto Interface simplifiée et claire Intégration fluide des apps mobiles Commandes vocales efficaces 9 / 10 Télécharger En retour, le serveur transmet l’adresse d’un troisième composant, le module zhima. Ce module interroge le serveur toutes les 90 minutes et exécute les instructions transmises.

Neuf commandes sont recensées au total, de la requête HTTP simple au téléchargement de code arbitraire via la commande loadlib2, la plus employée, comme l’indique le rapport technique de Kaspersky.

Les autoradios infectés alimentent un marché de proxies résidentiels Le module zhima intègre chaque autoradio infecté aux services PXYEDGE et ProxyForU, deux plateformes de revente d’accès à des proxies résidentiels . Par ces canaux, le trafic de clients extérieurs transite via la connexion des appareils compromis, notamment pour la fraude publicitaire et d’autres activités malveillantes. Dans ce troisième étage également, le module clicker sert des publicités et simule des clics automatiques, au profit des pirates responsables de la campagne.

Le conducteur constate juste que l’appareil ralentit et la connexion Internet embarquée perd sensiblement en vitesse.