Peretas Susupi Head Unit Mobil Android untuk Dijadikan Jaringan Proxy Botnet

Sebuah serangan rantai pasok (supply-chain attack) baru-baru ini terdeteksi menargetkan perangkat head unit mobil berbasis Android. Serangan ini menyalahgunakan aplikasi pembaruan sistem resmi guna menyebarkan malware yang mengubah perangkat terinfeksi menjadi simpul (node) jaringan proxy botnet serta sarana penipuan iklan (ad fraud).

Para peneliti keamanan siber dari Kaspersky mengaitkan operasi berbahaya ini dengan kelompok peretas bernama MoYu, aktor ancaman yang sebelumnya dikenal luas melalui operasi botnet malware BadBox. Temuan ini menjadi kasus terdokumentasi pertama terkait rantai infeksi malware yang secara khusus dirancang dan ditargetkan untuk head unit otomotif.

Mekanisme Infeksi Rantai Pasok

Operasi MoYu berfokus pada sistem yang diproduksi oleh DoFun, penyedia perangkat keras dan perangkat lunak otomotif asal Tiongkok di bawah naungan Shenzhen Driving Control Technology Co., Ltd. DoFun memproduksi berbagai unit head unit Android generik yang berfungsi sebagai pusat kendali sistem infotainment, navigasi, dan pengaturan kendaraan.

Penyusupan ini terdeteksi ketika aplikasi sistem resmi milik DoFun, yakni TWCore, kedapatan mengunduh file APK berbahaya. Aplikasi pembaruan ini menerima instruksi dari server MQTT eksternal untuk mengunduh paket berbahaya tanpa antarmuka (UI) bernama JarService.

Begitu berhasil dieksekusi, JarService melakukan dekripsi dan menjalankan second-stage loader. Modul ini langsung membangun komunikasi dua arah dengan server Command and Control (C2) milik peretas untuk mengunduh payload terenkripsi tahap akhir.

Payload utama tersebut secara berkala mengirimkan data spesifikasi perangkat—seperti model unit, resolusi layar, SSID Wi-Fi, dan alamat MAC—ke server penyerang. Malware ini juga dilengkapi sembilan perintah operasional, di antaranya:

• Mengambil nilai penyimpanan SharedPreferences pada sistem Android.
• Menyalin data ke clipboard perangkat.
• Mengirimkan permintaan HTTP GET atau POST.
• Membuka URL melalui WebView dan mengeksekusi kode JavaScript.
• Mengunduh dan mengeksekusi modul kode tambahan (arbitrary code execution).
• Membuka tautan sumber daya (deep link) pada peramban.
• Melakukan uji keterjangkauan host jaringan via ICMP ping (traceroute).

Tujuan Monetisasi dan Eksploitasi Jaringan

Berdasarkan analisis forensik, malware ini tidak mengganggu kontrol kemudi maupun sistem kendali kritis kendaraan. Tujuan utama dari infeksi ini adalah monetisasi sepihak dengan menyuntikkan modul reverse-proxy bernama zhima. Modul tersebut mengubah head unit yang terhubung ke internet menjadi residential proxy serta mengeksekusi permintaan web otomatis untuk aktivitas kecurangan klik (click-fraud).

Pihak peneliti telah menginformasikan temuan ini kepada DoFun, dan perusahaan perangkat keras otomotif tersebut mengonfirmasi bahwa mereka telah mengambil langkah perbaikan untuk mengatasi masalah keamanan pada rantai pasok sistem pembaruan mereka.

Sumber: Laporan Riset Keamanan Kaspersky