Kaspersky, Android araç tüpü ünitelerini hedefleyen ilk kötü amaçlı yazılım bulaşma zincirini belgeledi

Kötü amaçlı yazılım tüpü ünitesinin kendi güncelleyicisiyle geldi

Kaspersky, mobil tehditleri izlerken Haziran 2026'da daha önce bilinmeyen bir Android Truva atı keşfettiğini ve olağan dışı kısmın bunun cihaza ulaşma biçimi olduğunu söylüyor. Şirketin Securelist raporuna göre kötü amaçlı yazılım, Android tabanlı otomotiv tüpü ünitelerine donanımın yerleşik güncelleme mekanizması aracılığıyla teslim edildi. Kaspersky bunu, bulaşma zinciri özellikle bu tür cihazlara göre uyarlanmış ilk belgelenmiş tüpü ünitesi kötü amaçlı yazılım vakası olarak tanımlıyor.

Uygulamanın kendisi de bir şeylerin ters gittiğine işaret ediyordu: sıradan bir kullanıcı uygulaması gibi kuruluyordu ama hiçbir kullanıcı arayüzü içermiyordu ve meşru bir yazılım gibi görünmek için hiçbir çaba göstermiyordu. Bu tuhaflık, araştırmacıları kötü amaçlı yazılımın cihaz sahiplerinden habersiz nasıl ulaştığını incelemeye itti.

Nihai hedefin, vardıkları sonucuna göre, reklam dolandırıcılığı ve bir proxy botneti inşası olduğu anlaşıldı. Kaspersky operasyonu yüksek güvenle MoYu Group'a bağlıyor; bu aktör daha önce BADBOX botnetiyle ilişkilendirilmişti.

Kendisine söylenen her şeyi kuran bir güncelleme uygulaması

Rapor bulaşmaların kaynağını DoFun tüpü ünitelerine kadar izliyor. Zayıf nokta, bu ünitelerde analitik veri toplama ve yazılım güncellemelerinden sorumlu meşru bir sistem uygulaması olan TWCore'du. TWCore talimatlarını, cardoor.cn'in bir alt alan adında barındırılan bir MQTT message broker'dan alır; bu broker hangi APK dosyalarının indirilip kurulacağını söyler.

Kritik ayrıntı, bu mesajlardaki installNotExists adlı alandır. Doğru şekilde ayarlandığında TWCore'un başlangıçta cihazda hiç bulunmayan uygulamaları kurmasına izin verir; uygulama yazılımın zaten mevcut olup olmadığını yalnızca bayrak false olduğunda denetler. İndirilen paketler TWCore'un push/apk dizini altındaki bir önbellek yoluna düşer ve Kaspersky'nin telemetrisi bilinmeyen kötü amaçlı yazılımı tam olarak bu konumlarda tespit etmiştir — gözlemlenen her vakada com.tw.core paketi tarafından kurulmuştur.

Kaspersky, dağıtım düzeninden üreticiyi haberdar ettiğini ve üreticinin ardından güvenlik sorunlarını giderdiğini bildirdiğini söylüyor.

Bir dropper, bir loader ve bir clicker

Birinci aşama, araştırmacıların JarService adını verdiği küçük bir dropper. Yükünü XOR ile şifrelenmiş bloklar halinde taşır; her blok bir sonraki bloğa geçerken değişen tek baytlık bir anahtarla çözülür. Çözüldüğünde veri, serileştirilmiş meta veriler — sürüm ve giriş noktası — ile bir sonraki aşamanın kodunu içerir; kod, com.c.j.qbh adlı sınıfın bir metodunda başlar.

İkinci aşama bir loader. Sınıf adlarını runtime'a kadar şifreli tutar, üçüncü aşamayı Java reflection aracılığıyla devreye sokar ve sürüm, kanal kimliği ve com.tw.jar1 paket adı gibi ayrıntıları bildiren bir POST isteğiyle saldırganların altyapısına giriş yapar. Sunucu bir indirme bağlantısıyla yanıt verir — örneğin birinde .png ile biten bir URL — ve bu bağlantı, kendi şifre çözme anahtarlarıyla başlayan ve üçüncü aşama yüküyle biten serileştirilmiş veriye işaret eder. Araştırmacılar, bu URL'ye gömülü sürüm numarasını değiştirerek yedi farklı yük varyantı indirdi; 3.57 numaralı en eski varyant farklı bir kod çözme şeması kullanıyordu ve rapor bunun zincirin daha erken bir nesline işaret ettiğini öne sürüyor.

Üçüncü aşama bir clicker ve ters proxy loader olarak tanımlanıyor. Varsayılan olarak her 90 dakikada bir görev uç noktasıyla iletişim kurar ve ekran çözünürlüğü, model, bağlantılı Wi-Fi ağının SSID'si ve MAC adresi dahil cihaz bilgilerini iletir. Yapılandırması geri kaldığında sunucu güncel bir tanesini geri gönderir — araştırma sırasında sürüm 3.82 — yeni komut ve kontrol sunucuları, yeni bir yoklama aralığı ve güncel API yolları içerir.

Kaspersky ürünleri çeşitli bileşenleri HEUR:Trojan-Dropper.AndroidOS.Agent.vu, HEUR:Trojan-Downloader.AndroidOS.Agent.ov ve HEUR:Trojan-Proxy.AndroidOS.Zhima dahil tespit adlarıyla işaretler.

Neden önemli

Tüpü üniteleri botnet için cazip bir hedef, çünkü çoğu SIM kart yuvası taşıyor ve navigasyon ile güncellemeler için kendi internet bağlantını sürdürüyor. Ele geçirilmiş router'lar veya diğer IoT cihazları gibi, reklam tıklamalarıyla ve trafik proxy'leyerek işletmeciler için sessizce gelir üretebilen her zaman açık cihazlardır ve sahip hiçbir şey görmez: kötü amaçlı yazılımın arayüzü yoktur ve bir bilgi-eğlence sisteminin bulaştığını belli edecek bariz bir yolu yoktur.

Daha derin ders ise güncelleme kanalının kendisiyle ilgilidir. Uzaktan bir message broker'ın sözü üzerine rastgele paketler kurmaya razı bir donanım güncelleyicisi, sahada her üniteyi uzaktan kurulum hedefine dönüştürür ve pazar sonrası tüpü ünitesi alıcılarının bu hattı denetleyebilecek pratik bir yolu yoktur.

Ayrıca dikkat çekmeye değer bir sınır var. Kaspersky, tüpü ünitelerinin multimedya görevlerini araç işlevleri üzerindeki kısmi kontrolle birleştirdiğini belirtiyor; bu kampanya para kazanmayla sınırlı kalsa da aynı dağıtım yolu daha müdahaleci bir şey taşıyabilirdi. Olay, Android kötü amaçlı yazılımının Android'in çalıştığı her yere kadar gittiğinin bir hatırlatıcısı — kötü amaçlı olanlar dahil çoğu akıllı telefon uygulaması, bir tüpü ünitesinde değiştirilmeden çalışacaktır.