Android tabanlı araç multimedya ünitelerini hedef alan yeni bir tedarik zinciri saldırısı, otomotiv yazılım ekosistemindeki güvenlik risklerini yeniden gündeme taşıdı. Kaspersky araştırmacıları, bazı araç içi eğlence ve bilgi sistemlerinde kullanılan yasal güncelleme mekanizmasının kötüye kullanılarak zararlı yazılım dağıtıldığını belirledi. Zararlı, enfekte cihazları reklam dolandırıcılığında kullanabiliyor ya da onları proxy botnet düğümüne dönüştürebiliyor.

Araştırmanın, Android araç multimedya ünitelerine özel tasarlanmış bir bulaşma zincirinin belgelenmiş ilk örneği olması açısından dikkat çekici olduğu söylenilebilir. Çeşitli global haberler siteleri, saldırının kullanıcının herhangi bir uygulama yüklemesine gerek kalmadan cihazın kendi güncelleme işlevi üzerinden yürütüldüğünü aktarıyor.

Hedefte multimedya ünitesi var, direksiyon değil

Araçlardaki multimedya ünitesi; navigasyon, müzik, bağlantı özellikleri ve bazı araç fonksiyonlarının kontrol arayüzünü tek bir noktada topluyor. Bu üniteler fabrikadan takılı gelebileceği gibi sonradan monte edilen Android tabanlı cihazlar da olabiliyor. SIM kart yuvası, Wi-Fi ve mobil bağlantı sunan modeller, güncelleme ve çevrim içi navigasyon gibi işlevler nedeniyle internete sürekli ya da düzenli aralıklarla bağlanıyor.

Kaspersky’nin analizinde zararlı yazılımın sürüşü ya da kritik araç kontrol sistemlerini hedef aldığına dair bir bulguya rastlanmadı. Görünen amaç, bağlantılı cihazlardan gelir sağlayan reklam trafiği üretmek ve bunları üçüncü taraflara kiralanabilen ya da kötüye kullanılabilen internet çıkış noktalarına dönüştürmektir.

Burada altının çizilmesi gereken nokta, saldırının direksiyon ya da fren gibi kritik sistemlere yönelik olmaması. Saldırganların amacı, internete bağlı multimedya ünitesinden gelir elde etmek. Yine de araç içindeki bağlantılı sistemlerin tedarik zinciri üzerinden ele geçirilebilmesi, otomotiv siber güvenliği açısından göz ardı edilmemesi gereken bir risk oluşturuyor.

Güncelleme mekanizması kapıyı araladı

Kaspersky’nin teknik raporuna göre saldırı, Android tabanlı DoFun multimedya ünitelerinde yer alan TWCore adlı meşru sistem uygulamasının güncelleme fonksiyonunu suistimal ediyor. TWCore, cihaz yazılımını ve bazı uygulamaları güncellemek için tasarlanmış bir bileşen. Sistem, cardoor[.]cn alanında barındırılan bir MQTT mesaj aracısından hangi APK dosyalarının indirilip kurulacağına dair talimat alıyor.

Araştırmacılar, TWCore içindeki installNotExists adlı Boolean parametrenin, cihazda daha önce bulunmayan uygulamaların da kurulmasına izin verdiğini tespit etti. Saldırganlar da tam olarak bu mekanizmayı kullanıyor: ekranda herhangi bir arayüz göstermeyen JarService adlı bir dropper’ı cihaza bu yolla indiriyorlar.

JarService çalıştığında ikinci aşama yükleyiciyi devreye sokuyor. Bu yükleyici komuta-kontrol sunucusuyla iletişim kuruyor, cihazın modeli, ekran çözünürlüğü, bağlı olduğu Wi-Fi ağı ve MAC adresi gibi bilgileri düzenli aralıklarla gönderiyor ve karşılığında şifrelenmiş yeni bir yük indiriyor.

Son aşamada saldırganlar reklam dolandırıcılığı için komutlar iletebiliyor ya da ek modüller yükleyebiliyor. Bunlardan en dikkat çekeni ise cihazı ters proxy düğümüne dönüştüren zhima modülü. Böylece saldırganlar cihaza yalnızca bir kez zararlı yazılım bulaştırmakla kalmıyor, istedikleri zaman yeni komutlar göndererek sistemi uzaktan kullanmaya devam edebiliyor.

Ele geçirilen cihazlar proxy botnet’e dönüşüyor

Proxy botnet mantığı basit: Saldırgan, ele geçirdiği cihazların internet bağlantısını kendi trafiği için bir ara istasyon gibi kullanıyor. Böylece istekler doğrudan kendi altyapısından değil, enfekte cihazların bağlantısı üzerinden gönderiliyor. Bu da dolandırıcılık, otomatik trafik üretimi ve hesap suistimali gibi faaliyetlerde saldırganların izinin sürülmesini zorlaştırabiliyor.

Kampanyada kullanılan zhima modülünün daha önce düşük maliyetli Android TV kutularındaki IPTV uygulamaları üzerinden de dağıtıldığı bildirildi. Bu durum, saldırganların yeni bir zararlı aile oluşturmaktan çok, farklı türde bağlantılı cihazları aynı gelir modeline dahil ettiğini düşündürüyor. Kaspersky, kampanyayı daha önce BadBox botnetiyle ilişkilendirilen MoYu Grubu’na yüksek güvenle bağlıyor.

BadBox ekosisteminin geçmişine bakmak, bu modelin ne kadar büyük bir yapıya dönüşebileceğini anlamak açısından faydalı. Google, 2025 Temmuz ayında BadBox 2.0 operasyonunun Android’in açık kaynak sürümünü kullanan on milyonun üzerinde sertifikasız cihazı etkilediğini ve bu cihazların büyük ölçekli reklam dolandırıcılığında ve diğer dijital suçlarda kullanıldığını açıklamıştı.

Bu sayının yeni araç multimedya kampanyasıyla doğrudan bir ilgisi bulunmuyor. Sayı yalnızca ilgili botnet ekosisteminin daha önce ulaştığı ölçeği gösteriyor.

Kullanıcılar ne yapmalı, üreticiler nereye bakmalı?

Araç sahipleri ve filo yöneticileri için tavsiye net: Multimedya sistemi güncellemeleri yalnızca üretici ya da yetkili satıcının doğrulanmış kanallarından takip edilmeli ve kaynağı belirsiz APK dosyalarından uzak durulmalı. Olağandışı veri tüketimi, beklenmedik reklam pencereleri, sürekli ağ trafiği ya da açıklanamayan performans sorunları görülüyorsa cihazın incelenmesi gerekebilir.

Üreticiler açısından mesele daha köklü. Güncelleme altyapısının sadece güncel olması yetmiyor; doğrulanabilir ve yetkilendirilmiş olması da gerekiyor. İmzalı paket denetimi, güncelleme sunucularında sıkı erişim kontrolleri, MQTT tabanlı dağıtım kanallarının doğrulanması, gereksiz kurulum yetkilerinin kaldırılması ve cihaz telemetrisinin izlenmesi, benzer saldırıların etkisini azaltabilecek adımlar arasında yer alıyor.

Kaspersky, bulgularını DoFun’a ilettiğini ve şirketin dağıtım sürecindeki güvenlik sorunlarını giderdiğini bildirdi.

Sonuç olarak

Bu olay, araçlardaki multimedya sistemlerinin artık sıradan bir donanım parçası olarak görülmemesi gerektiğini gösteriyor. İnternete bağlanan, uygulama çalıştıran ve uzaktan güncellenebilen bu sistemler de siber saldırılar açısından dikkate alınması gereken bağlantılı cihazlar arasında yer alıyor.

Saldırının araç kontrol sistemlerine müdahale ettiğine dair bir bulgu bulunmuyor. Ancak güncelleme mekanizmasının bu şekilde kötüye kullanılabilmesi, üreticilerin tedarikçi güvenliği, yazılım imzaları ve cihaz takibi gibi konulara daha fazla eğilmesi gerektiğini gösteriyor.