Kaspersky scopre il primo malware per auto diffuso tramite aggiornamenti firmware Android

I ricercatori di sicurezza informatica di Kaspersky hanno individuato una nuova minaccia attiva direttamente sulle strade. Non si tratta di una simulazione di laboratorio, ma di un malware rilevato in circolazione reale.

Il vettore d’attacco sfrutta un canale finora inedito per il settore automobilistico: i servizi di aggiornamento automatico del firmware.

Il primo malware diffuso tramite aggiornamenti firmware

Il bersaglio dell’infezione sono le centraline Android dedicate all’infotainment, i dispositivi da cui si controllano navigazione, riproduzione multimediale e connettività di bordo. La falla non tocca direttamente la centralina del motore né i sistemi di guida assistita o frenata.

L’uso diffuso di Android nell’elettronica dell’abitacolo offre flessibilità ai produttori, ma importa nell’auto i problemi tipici del software mobile. Ricevendo aggiornamenti da remoto e integrando componenti di terze parti, il display centrale diventa vulnerabile ad accessi esterni non autorizzati.

Gli analisti di Kaspersky confermano che si tratta del primo caso documentato in cui un codice malevolo raggiunge un veicolo sfruttando proprio il canale di update del costruttore o del fornitore hardware.

A cosa serve infettare lo schermo dell’auto

La finalità dei criminali informatici è puramente economica. Una volta compromessa, la centralina viene sfruttata per generare frodi pubblicitarie e inserita all’interno di una botnet proxy.

In questo modo, il veicolo diventa un nodo silenzioso che fa transitare traffico Internet illecito per mascherare attacchi o attività fraudolente. Il conducente continua a utilizzare l’auto senza accorgersi che il computer di bordo sta scambiando dati in rete, anche a veicolo parcheggiato.

Un tecnico in officina analizza il sistema di infotainment collegando un computer portatile al cruscotto dell’auto.

Oltre a esporre dati tecnici del sistema, una centralina compromessa consuma giga di traffico della SIM integrata o della connessione condivisa dallo smartphone, provocando rallentamenti evidenti nelle app di bordo.

Il legame con la rete BADBOX e il Gruppo MoYu

Le tracce individuate nel codice collegano la campagna alla botnet BADBOX e al gruppo noto come MoYu, già attivo nella compromissione di decoder TV Box e altri dispositivi IoT basati su versioni modificate di Android.

Il target iniziale è stato identificato nel software fornito dall’azienda DoFu. Gli esperti avvertono che le medesime tecniche possono essere estese ad altri fornitori che assemblano piattaforme per l’automotive senza controlli rigorosi sulla filiera del software.

Come ridurre l’esposizione del veicolo

Il principio di base consiste nel trattare l’infotainment con le stesse precauzioni applicate a uno smartphone o a un PC:

• Evitare l’installazione di firmware non ufficiali scaricati da forum, repository non certificati o canali alternativi.
• Diffidare da modifiche software effettuate in officine non autorizzate per sbloccare funzioni nascoste o installare app non previste dalla fabbrica.
• Monitorare riavvii anomali dello schermo, la comparsa di icone sconosciute o un consumo improvviso e ingiustificato di traffico dati.
• Disattivare le connessioni hotspot e Wi-Fi quando non strettamente necessarie durante la marcia o la sosta prolungata.