Специалисты Kaspersky обнаружили первое документированное вредоносное ПО с цепочкой заражения, предназначенной для автомобильных Android-магнитол DoFun, сообщается в исследовании компании.
Вредоносная программа распространялась через встроенный механизм обновления прошивки. Многоэтапный загрузчик использовали для рекламного мошенничества и подключения устройств к прокси-ботнету.
Легальное системное приложение TWCore устанавливало загрузчик JarService без пользовательского интерфейса. Следующие этапы связывались с управляющими серверами и получали дополнительные модули.
Программа по умолчанию раз в 90 минут передавала разрешение экрана, модель устройства, название подключенной Wi-Fi-сети и MAC-адрес. Исследователи нашли девять команд для показа рекламы, имитации кликов и загрузки нового вредоносного кода.
Kaspersky с высокой уверенностью связала кампанию с группой MoYu, которую ранее связывали с ботнетом BADBOX. Компания уведомила производителя DoFun, после чего тот сообщил об устранении проблем безопасности.
