Serangan Supply Chain Incar Head Unit Mobil Android

Serangan Supply Chain Incar Head Unit Mobil Android – Dunia otomotif kini menjadi sasaran baru kejahatan siber. Sebuah serangan rantai pasokan (supply-chain attack) ditemukan menargetkan head unit (sistem infotainment) mobil berbasis Android.

Para peretas memanfaatkan aplikasi pembaruan perangkat yang sah untuk menyebarkan malware, yang kemudian mendaftarkan perangkat terinfeksi ke dalam jaringan proxy botnet atau memanfaatkannya untuk penipuan iklan (ad fraud).

Para peneliti menisbatkan operasi ini kepada kelompok peretas MoYu, yaitu aktor ancaman yang sebelumnya terkait dengan botnet malware BadBox. Temuan ini menjadi kasus terdokumentasi pertama dari rantai infeksi malware yang dibuat secara khusus untuk menargetkan head unit mobil.

Poin Utama Insiden

Target Operasi: Sistem besutan DoFun, penyedia perangkat lunak dan keras otomotif asal Tiongkok milik Shenzhen Driving Control Technology Co., Ltd.
Vektor Serangan: Memanfaatkan aplikasi sistem resmi bernama TWCore untuk mengunduh berkas APK berbahaya secara diam-diam.
Modus Utama: Memanfaatkan head unit kendaraan terhubung internet sebagai nodus residential proxy dan melakukan penipuan klik iklan (click-fraud).
Dampak Keselamatan: Malware tidak mengganggu fungsi kemudi atau sistem kontrol kritis kendaraan.

Mekanisme Infeksi dan Cara Kerja Malware JarService

DoFun menyediakan head unit Android generik yang berfungsi sebagai pusat kendali untuk sistem hiburan (infotainment), navigasi, dan pengaturan mobil.

Dalam operasinya, para peneliti menemukan berkas APK berbahaya yang diunduh dari aplikasi sistem sah DoFun bernama TWCore. Aplikasi TWCore ini menerima instruksi dari server MQTT yang di-hosting pada domain cardoor[.]cn.

Alur Eksekusi Payload:

Aplikasi Penyamar: Berkas APK mencurigakan tersebut tidak memiliki antarmuka pengguna (no interface) dan merupakan malware bernama JarService.
Pengunduhan Payload: Saat dijalankan, JarService mendekripsi dan mengeksekusi loader tahap kedua yang membangun komunikasi dengan server Command-and-Control (C2) untuk mengunduh payload terenkripsi lainnya.
Pelaporan Data: Payload akhir secara berkala melaporkan informasi perangkat seperti model, resolusi layar, SSID Wi-Fi, dan alamat MAC, serta mengambil perintah lanjutan dari peretas.

Sembilan Perintah Utama Malware

Malware ini mendukung sembilan perintah eksekusi utama dari server C2:

return: Mengambil nilai tertentu dari penyimpanan SharedPreferences Android.
copy: Menyalin konten yang tersimpan atau diunduh ke papan klip (clipboard) perangkat.
http: Mengirim permintaan HTTP GET atau POST dan dapat menyimpan sebagian respons.
web: Membuka URL di WebView dan mengeksekusi skrip JavaScript yang diberikan.
loadlib: (Belum diimplementasikan sepenuhnya saat laporan diterbitkan).
loadlib2: Mengunduh dan mengeksekusi kode sembarang atau modul tambahan.
loadlib3: (Belum diimplementasikan sepenuhnya saat laporan diterbitkan).
deeplink: Membuka sumber daya tertentu di dalam browser.
traceroute: Memeriksa apakah host tertentu dapat dijangkau menggunakan ICMP ping.

Botnet Proxy dan Penipuan Iklan

Para peneliti menemukan bahwa peretas utamanya memuat modul reverse-proxy bernama ‘zhima’. Modul ini mengubah head unit mobil menjadi nodus proxy botnet. Selain itu, peretas juga membuat permintaan web untuk aktivitas penipuan klik (click-fraud).

Meskipun menyusupi sistem infotainment mobil, serangan ini murni bertujuan mencari keuntungan finansial melalui monetisasi traffic dan iklan, serta tidak memengaruhi fungsi mekanis atau keselamatan berkendara. Pihak vendor DoFun menyatakan telah menyelesaikan masalah keamanan tersebut setelah menerima pemberitahuan dari para peneliti.

Langkah Penting Bagi Pemilik dan Produsen Kendaraan

Pengawasan Aplikasi Pembaruan: Produsen perangkat otomotif harus memperketat validasi integritas kode pada saluran pembaruan aplikasi over-the-air (OTA).
Segmentasi Jaringan Kendaraan: Memastikan sistem infotainment terisolasi secara ketat dari jaringan kontrol kendaraan (CAN bus) untuk mencegah eskalasi ancaman di masa mendatang.

Baca artikel lainnya: