הנוזקות תופסות את ההגה

ההאקרים משתלטים על הכול: נתבים ביתיים, מצלמות אבטחה, מקליטי וידאו דיגיטליים, ממירי טלוויזיה… – רשימה חלקית. ההשתלטות נועדה לאפשר להם לבנות בוטנטים – רשתות בוטים ענקיות. כעת נמצא מכשיר נוסף שמחובר לאינטרנט, שהרעים "גייסו" לטובתם – במכונית.

חוקרי קספרסקי (Kaspersky Lab) גילו נוזקה שמתפשטת דרך מנגנון עדכון תוכנה של יחידת ראש ברכב – מסך מולטימדיה מבוסס אנדרואיד. ההאקרים משתלטים על היחידה, והופכים את המכשירים לצמתים ולחלק מרשתות בוטים זדוניות. לפי חוקרי ענקית הגנת הסייבר, זהו המקרה הראשון של נוזקה שנמצאה ביחידת ראש במכונית, עם שרשרת זיהום ייחודית למכשיר זה.

מומחים ציינו כי "המחקר הזה הוא רק הסימן האחרון לכך שהקו בין אבטחת סייבר לרכב לבין אבטחת האינטרנט של הדברים הופך ליותר מטושטש וקשה להבחנה. מכוניות חדשות מכילות מחשבים חזקים, שמחוברים לאינטרנט ומריצים מערכות הפעלה ויישומים מוכרים. עבור פושעי סייבר שמחפשים כוח מחשוב וכתובות IP מפוזרות, מערכות אלו הן ככל מכשיר IoT פגיע אחר".

איך הנוזקה פועלת וכיצד חוקרי קספרסקי גילו אותה?

החוקרים גילו את הנוזקה ביוני האחרון, פשוט כי היא בלטה להם: הנוזקה הותקנה כאפליקציית אנדרואיד רגילה, אך לא היה לה ממשק משתמש – עדות שלא הקורבנות הם אלה שהתקינו אותה. הם גילו שמדובר ביחידות ראש מבוססות אנדרואיד שיוצרו על ידי DoFun. הנוזקה "סופקה" באמצעות TWCore – אפליקציה לגיטימית, שמשמשת לאיסוף ניתוחים ולעדכון תוכנה של יחידת הראש. מנגנון העדכון של TWCore שימש עבור הרעים כערוץ הפצה מוכן. לאחר מכן הפעילו הפצחנים מערך של זיהום רב שלבי. בשלב השלישי והאחרון, הם התקינו את מודול zhima, שהופך את מערכת המולטימדיה במכונית לנקודת פרוקסי ברשת הבוטים.

חוקרי קספרסקי ייחסו את הקמפיין לקבוצת ההאקרים MoYu, שהיו קשורים בעבר להפעלת הנוזקה BADBOX, שמדביקה מכשירי IoT כגון טלוויזיות חכמות, מסגרות תמונות דיגיטליות ומכשירים נוספים. ה-FBI הזהיר בשעתו שפושעי סייבר מסתירים את פעילותם על ידי ניצול מכשירים שנפרצו ברשתות ביתיות. כמו כן, נצפו תוקפים זדוניים שמכרו גישה לבוטנט לפושעי סייבר אחרים.

"הקמפיין משתלב בשינוי גדול בהרבה בכלכלת הסייבר"

"המכונית שלכם ושלכן היא פשוט עוד מכשיר IoT", כתבו החוקרים מקספרסקי. "הקמפיין משתלב בשינוי גדול בהרבה בכלכלת פשעי הסייבר: ההאקרים מנצלים יותר ויותר מכשירי אינטרנט של הדברים – לא כדי לשים יד על הנתונים שהם מכילים, אלא על מנת לקבל את חיבורי האינטרנט שלהם".

חוקרים אחרים ציינו כי "ממצאי קספרסקי מגיעים ברקע עדויות וראיות נוספות לכך שכלי רכב מחוברים והשירותים הסובבים אותם חושפים משטח התקפה נרחב, שמוגן בצורה לקויה". לדבריהם, "התוקפים לא ניסו להרחיק רכבים מהכביש או לגנוב מידע מנהגים. הם פשוט ראו מחשב אנדרואיד שמחובר לאינטרנט עם ערוץ הפצת תוכנה, והבינו שניתן לנצל אותו ולהפוך אותו לתשתית בוטנט".

אסף חזן, סמנכ"ל הטכנולוגיות של קספרסקי ישראל. צילום: יח"צ

"תמונה חדשה, אך לא מפתיעה"

אסף חזן, סמנכ"ל הטכנולוגיות של קספרסקי ישראל, אמר כי "הפרשה שחשפנו מציגה תמונה חדשה, אך לא מפתיעה, של איך נראית פשיעת סייבר בעידן ה-IoT: לא פריצה דרמטית שמשתקת מערכות, אלא ניצול שקט ומתמשך של מיליוני מכשירי קצה זולים, כדי להפוך אותם לתשתית סמויה עבור מי שמשלם על כך. מה שמעניין הוא לא רק העובדה שנוזקה חדרה ליחידת ראש ברכב – זה קרה כבר בעבר, אלא הבחירה בערוץ ההדבקה. לא חולשה טכנית שצריך לנצל בכוח, כי אם ניצול פשוט של מנגנון העדכונים החוקי של היצרן עצמו. זו הסיבה שהתקפות מסוג זה כל כך יעילות וקשות לאיתור: הן לא 'פורצות פנימה', אלא מנצלות דלת פתוחה ואמינה".

"המתקפה ממחישה שינוי מגמה", הוסיף חזן. "המניע לא מתמקד, כבעבר, בריגול ומעקב, אלא בכסף. הרכב הופך לנקודת פרוקסי אנונימית שמישהו משכיר. זה מדגיש בפנינו ששרשרת האספקה של אלקטרוניקה זולה, שנקנית באי-קומרס, ללא בקרת איכות אמיתית, ללא שקיפות ובלי אחריות ארוכת טווח על עדכוני אבטחה – היא נקודת התורפה האמיתית של עולם ה-IoT. לכן, השאלה שראוי לשאול היא לא רק 'איך מתגוננים להבא, אלא האם בכלל יש תמריץ כלכלי ליצרנים שכאלה להשקיע באבטחה, כשהמודל העסקי שלהם מבוסס על מחיר נמוך".