KALIMANTAN SELATAN — Para peneliti keamanan siber dari Kaspersky mengungkap temuan kampanye malware yang dirancang khusus untuk menyerang head unit mobil berbasis Android. Ini menjadi kasus pertama yang terdokumentasi di mana perangkat hiburan di dalam kabin kendaraan menjadi sasaran langsung rantai infeksi yang mengeksploitasi mekanisme pembaruan software resmi dari pabrikan.
Jalur distribusi malware ini terbilang licik. Para peretas menyusup ke saluran pembaruan sah yang dikelola oleh DoFun, produsen head unit Android, untuk menyuntikkan muatan berbahaya ke perangkat yang sudah terpasang di kendaraan pengguna.
Modus Serangan: Membajak Aplikasi Sistem yang Sah
Rantai infeksi bermula dari TWCore, aplikasi sistem bawaan yang berfungsi mengumpulkan data analitik dan memperbarui software head unit dari jarak jauh. Penyerang membajak aplikasi tepercaya ini menggunakan dropper bernama JarService untuk mengirimkan malware yang sebelumnya tidak dikenal ke perangkat terdampak.
Setelah terpasang, malware beroperasi senyap sebagai aplikasi latar belakang biasa tanpa menampilkan antarmuka apa pun kepada pengemudi. Kaspersky mengidentifikasi sembilan perintah jarak jauh berbeda yang tertanam dalam malware, yang mampu memunculkan iklan yang tidak diinginkan dan menjalankan berbagai bentuk penipuan iklan.
Data Perangkat Ikut Dicuri
Selain menampilkan iklan, malware ini juga aktif mengumpulkan informasi sensitif perangkat, termasuk resolusi layar, model perangkat, pengenal jaringan Wi-Fi, dan alamat MAC. Data ini biasanya digunakan untuk memetakan perangkat dan mengoptimalkan serangan atau kampanye iklan selanjutnya.
Peneliti menemukan keterkaitan teknis yang jelas antara kampanye ini dengan serangan sebelumnya yang menyasar TV set-top box dari grup ancaman yang sama. Panel administrasi botnet ini disebut berbagi URL tertanam dengan situs layanan proxy residensial PXYEDGE dan ProxyForU.
BadBox dan Target yang Makin Meluas
BadBox sendiri merupakan jaringan besar perangkat Android yang dibajak, termasuk streaming box, ponsel, dan tablet yang sudah terinfeksi sejak dari pabrik. Kaspersky menduga aktivitas ini berasal dari grup MoYu, aktor ancaman yang terkait erat dengan botnet BadBox.
Kaspersky telah memberi tahu DoFun mengenai penyalahgunaan saluran distribusi software resmi mereka. Menurut pernyataan dari DoFun, masalah mendasar ini telah diselesaikan di sebagian besar perangkat yang terdampak di lapangan.
Head Unit: Target yang Tumbuh tapi Minim Pengamanan
Head unit mobil bisa terpasang langsung dari pabrikan atau ditambahkan belakangan ke kendaraan lama sebagai perlengkapan aftermarket. Mayoritas pabrikan mengandalkan sistem operasi Android karena kemudahan kustomisasi antarmuka dan integrasi sistem.
Ketergantungan industri yang luas ini berarti sebagian besar aplikasi Android standar, termasuk malware Android yang sudah ada, berpotensi berjalan di perangkat tersebut. Meski head unit jarang menyimpan data pribadi sensitif, perangkat ini biasanya memiliki slot SIM aktif dan koneksi internet yang konstan untuk layanan navigasi dan pembaruan software.
Kombinasi konektivitas yang terus-menerus dan pengawasan keamanan yang relatif lemah inilah yang membuat head unit menjadi target menarik bagi penyerang. Skala keseluruhan kampanye ini masih belum jelas, dan apakah pabrikan head unit lain menghadapi paparan serupa juga belum diketahui.
