در ژوئن 2026، با بدافزار جدید و غیرمعمولی مواجه شدیم که سیستم‌های Infotainment مبتنی بر Android خودروها را هدف قرار می‌داد. این نخستین مورد مستند از انتشار بدافزار روی سیستم‌های خودرو از طریق یک سرویس خودکار Firmware Update است.

پیش از این بارها درباره رخدادهای امنیت سایبری مرتبط با خودروها صحبت کرده‌ایم، اما این موارد معمولاً یا به نشت اطلاعات از زیرساخت دیجیتال خودروسازان مربوط می‌شدند یا نتیجه آزمایش‌های محققان امنیتی بودند.

اما این بار با بدافزاری روبه‌رو هستیم که مجرمان سایبری آن را به‌صورت واقعی و فعال در فضای عملیاتی (In the Wild) منتشر می‌کنند. هدف مهاجمان، تقلب تبلیغاتی و ایجاد یک Proxy Botnet متشکل از سیستم‌های Infotainment آلوده خودروهاست.

در ادامه توضیح می‌دهیم Head Unit خودرو چیست، مهاجمان دقیقاً چگونه این دستگاه‌ها را آلوده می‌کنند و این حمله چه پیامدهایی می‌تواند برای رانندگان داشته باشد.

Head Unit یا HU خودرو چیست؟

ابتدا باید مشخص کنیم Head Unit خودرو دقیقاً چیست. شاید این اصطلاح کمی تخصصی به نظر برسد، اما در واقع بیشتر رانندگان هر بار که از خودروی خود استفاده می‌کنند، با آن سروکار دارند.

Head Unit همان سیستم Infotainment خودرو است که معمولاً یک Display در مرکز آن قرار دارد و برای کنترل Navigation، موسیقی و سایر قابلیت‌های خودرو استفاده می‌شود. در خودروهای مدرن، Head Unitها اغلب به اینترنت نیز متصل هستند.

تولیدکنندگان در بسیاری از موارد از Android به‌عنوان سیستم‌عامل Head Unitهای خود استفاده می‌کنند. یکی از دلایل این انتخاب، سادگی کار است؛ Android برای پشتیبانی از سناریوهای مربوط به سیستم‌های Infotainment خودرو طراحی شده و مزایای مختلفی دارد:

• امکانات گسترده برای شخصی‌سازی Interface؛
• توسعه آسان اپلیکیشن‌ها؛
• امکان اضافه کردن System Appها و Componentهای اختصاصی؛
• دسترسی به یک اکوسیستم بزرگ از اپلیکیشن‌های موجود.

اما همین مزایا می‌توانند ریسک‌هایی نیز ایجاد کنند، زیرا اپلیکیشن نصب‌شده لزوماً همیشه Legitimate نیست و ممکن است مخرب باشد.

دقیقاً همین اتفاق در این حمله رخ داده است: مهاجمان با استفاده از یک اپلیکیشن مخرب، خودروها را به بخشی از یک Botnet تبدیل کرده‌اند.

مهاجمان چگونه Head Unit خودروها را آلوده می‌کنند و از چه بدافزاری استفاده می‌شود؟

ابتدا باید توجه داشت که این بدافزار تمام Head Unitها را تحت تأثیر قرار نمی‌دهد و به‌طور مشخص سیستم‌هایی را هدف قرار می‌دهد که از نرم‌افزار توسعه‌یافته توسط شرکت چینی DoFun استفاده می‌کنند.

این شرکت Firmware، اپلیکیشن و سرویس‌های Cloud مربوط به سیستم‌های Infotainment مبتنی بر Android را توسعه می‌دهد و طبق اطلاعات Website خود، بیش از 30 میلیون مالک خودرو در سراسر جهان از خدمات آن استفاده می‌کنند.

برای انتقال بدافزار به سیستم Infotainment خودرو، مهاجمان از TWCore استفاده می‌کنند؛ یک System App قانونی که مسئول به‌روزرسانی نرم‌افزار در Head Unitهای DoFun است.

در شرایط عادی، TWCore اطلاعات مربوط به فایل‌هایی را که باید دانلود و روی دستگاه نصب شوند از Cloud شرکت توسعه‌دهنده دریافت می‌کند. این فایل‌ها عمدتاً Updateهای نرم‌افزارهای نصب‌شده روی Head Unit هستند، اما همین مکانیزم می‌تواند برای نصب اپلیکیشن‌های کاملاً جدید نیز استفاده شود.

مهاجمان دقیقاً از همین قابلیت سوءاستفاده کرده‌اند. آن‌ها از TWCore برای نصب JarService روی Head Unitها استفاده می‌کنند؛ یک Trojan Dropper مخرب.

JarService در اصل یک اپلیکیشن «خالی» است؛ یعنی هیچ User Interfaceای ندارد و حتی تلاش نمی‌کند خود را به‌جای یک سرویس قانونی جا بزند. البته نبود Interface در این حمله کاملاً منطقی است، زیرا مهاجمان نیازی ندارند کاربر را برای نصب دستی بدافزار متقاعد کنند و اساساً هیچ User Interactionای لازم نیست.

کد JarService شامل Payload مرحله بعدی، اطلاعات مربوط به Version آن و Entry Point است که همگی به‌صورت رمزگذاری‌شده ذخیره شده‌اند.

وظیفه JarService این است که این اطلاعات را رمزگشایی و مرحله بعدی آلودگی، یعنی یک Downloader مخرب را اجرا کند.

پس از اجرا، Downloader به Server فرماندهی و کنترل مهاجمان یا C2 Server متصل می‌شود و اطلاعات مربوط به بدافزار نصب‌شده را برای آن ارسال می‌کند. Server نیز در پاسخ، Link مربوط به Payload مرحله بعدی را ارائه می‌دهد. Downloader این Payload را دریافت، رمزگشایی و اجرا می‌کند.

در این حمله، بدافزار چیزی را نصب می‌کند که به آن Clicker گفته می‌شود؛ نوعی بدافزار که برای افزایش جعلی Ad Impressionها مورد استفاده قرار می‌گیرد.

پس از اجرا، بدافزار به‌طور مرتب با C2 Server ارتباط برقرار می‌کند و اطلاعاتی درباره دستگاه آلوده برای آن می‌فرستد؛ از جمله:

• مدل دستگاه؛
• Screen Resolution؛
• MAC Address؛
• اطلاعات مربوط به شبکه Wi-Fi متصل‌شده.

در مقابل، بدافزار می‌تواند Commandهای مختلفی از مهاجمان دریافت کند. برای مثال، می‌تواند HTTP Request ارسال کند یا صفحات Web را باز کند. اما مهم‌تر از همه، قادر است کدهای مخرب دیگری را روی سیستم Infotainment خودروی آلوده دانلود و اجرا کند.

مهاجمان از همین قابلیت برای نصب Module مخربی به نام zhima استفاده می‌کنند که Head Unit آلوده را به یک Botnet اضافه می‌کند.

Botnet حاصل، زیرساخت یک سرویس موسوم به Residential Proxy را فراهم می‌کند و به مهاجمان اجازه می‌دهد هنگام اجرای حملات و سایر فعالیت‌های مخرب، Traffic خود را از طریق دستگاه‌های آلوده عبور دهند.

چه کسانی پشت این بدافزار قرار دارند و هدف مهاجمان چیست؟

هدف اصلی مهاجمان از آلوده کردن Head Unit خودروها، گسترش Botnet خود است.

بررسی کارشناسان Kaspersky نشان داده این عملیات با پلتفرم مخرب BADBOX و به‌طور مشخص یکی از Threat Actorهای مرتبط با آن، یعنی MoYu Group، ارتباط دارد.

نشانه‌های موجود در کد بدافزار و همچنین هم‌پوشانی آن با زیرساخت‌هایی که پیش‌تر به MoYu Group نسبت داده شده بودند، از نقش این گروه در حمله حکایت دارند.

خود BADBOX مجموعه‌ای از فعالیت‌های مخرب را در بر می‌گیرد که محور اصلی آن‌ها آلوده کردن دستگاه‌های Android و سوءاستفاده مخفیانه از منابع این دستگاه‌هاست.

مهاجمان سپس با تجاری‌سازی دسترسی به منابع متعلق به دیگران درآمد کسب می‌کنند.

کارشناسان ما هنگام بررسی زیرساخت Botnet، ارتباطاتی میان MoYu Group و سرویس‌های PXYEDGE و ProxyForU پیدا کردند که خدمات Residential Proxy ارائه می‌کنند.

این سرویس‌ها به مشتریان در سراسر جهان اجازه می‌دهند Internet Traffic خود را از طریق دستگاه‌های متصل به Botnet عبور دهند و در نتیجه با IP Address همان دستگاه‌ها به اینترنت متصل شوند.

این یافته نشان می‌دهد Head Unitهای آلوده خودروها ممکن است همین حالا نیز به‌عنوان بخشی از این زیرساخت مورد استفاده قرار بگیرند.

این بدافزار چه تأثیری بر کاربران دارد؟

مهم‌ترین پیامد این آلودگی، مصرف بخشی از منابع پردازشی Head Unit است. این بار اضافی می‌تواند باعث کندتر شدن یا کاهش پایداری سیستم Infotainment خودرو شود.

هم‌زمان، احتمال کاهش سرعت اتصال اینترنت دستگاه آلوده نیز زیاد است، زیرا مهاجمان ممکن است حجم قابل‌توجهی از Traffic را از طریق آن عبور دهند.

همچنین باید توجه داشت که قابلیت‌های این بدافزار فقط به ارائه Proxy محدود نمی‌شود. بدافزار می‌تواند Commandهای مهاجمان را دریافت کند و کدهای مخرب بیشتری را دانلود و اجرا کند.

در نتیجه، پیامد نهایی آلودگی می‌تواند بسته به Payloadی که گردانندگان Botnet تصمیم می‌گیرند روی دستگاه نصب کنند، متفاوت باشد.

جمع‌بندی

این مورد بار دیگر نشان می‌دهد حملات علیه انواع دستگاه‌های متصل به اینترنت، از TV Set-top Boxها گرفته تا سیستم‌های Infotainment خودرو، دیگر صرفاً یک تهدید تئوریک نیستند و در دنیای واقعی اتفاق می‌افتند.

مهاجمان دائماً به‌دنبال دستگاه‌های جدیدی هستند که بتوانند از منابع آن‌ها برای اهداف خود سوءاستفاده کنند. به همین دلیل، محافظت در برابر بدافزار دیگر فقط به کامپیوترها و Smartphoneها محدود نمی‌شود.

کارشناسان Kaspersky پس از شناسایی این روش توزیع بدافزار، شرکت توسعه‌دهنده را در جریان موضوع قرار دادند و پس از آن، توسعه‌دهنده مشکلات امنیتی شناسایی‌شده را برطرف کرد.