Kaspersky, Haziran 2026’da ortaya çıkardığı kötü amaçlı yazılım kampanyasının Android tabanlı araç multimedya ünitelerine üretici yazılımına gömülü güncelleyiciler üzerinden yayıldığını ve saldırının reklam dolandırıcılığı ile proxy botnet kurulumuna hizmet ettiğini açıkladı. Araştırmacılar, bunun araç baş ünitesini hedefleyen ve o cihaz sınıfına özgü bir bulaş zinciri kullanan ilk belgelenmiş örnek olduğunu söylüyor.
Hedefte Android çalışan otomotiv head unit cihazları var. Bu cihazlar müzik, navigasyon ve kısmi araç kontrol işlevlerini tek merkezde topluyor; fabrika çıkışlı olarak gelebiliyor ya da eski araçlara sonradan takılabiliyor. İçlerinde SIM kart yuvası bulunan modeller internete bağlanabildiği için yazılım güncellemesi ve çevrimiçi servis erişimi sunuyor. Android destekli bu baş üniteler hem aftermarket retrofitlerde hem de fabrikada üretilen araçlarda yaygınlaştıkça, standart Android uygulamalarının büyük bölümü ve buna bağlı olarak kötü amaçlı yazılımlar da bu sistemlerde çalışabiliyor.
Bu yapı, saldırganlar için yükselen bir hedef oluşturuyor. Kaspersky, araç baş ünitelerinin internet erişimi için SIM kart yuvası taşıdığını ve bunun navigasyon ile yazılım güncellemesini mümkün kıldığını belirtti.
Güncelleme kanalından kötü amaçlı yükleme
Kaspersky araştırmacısı Dmitry Kalinin, kampanyanın araç baş ünitelerinde yer alan meşru güncelleme mekanizmasının kötüye kullanılmasıyla yayıldığını söyledi. Kurumun The Hacker News ile paylaştığı açıklamaya göre saldırganlar, önceden yüklenmiş arka kapılar ya da ele geçirilmiş IPTV uygulamaları gibi yöntemlerin ötesine geçerek sistem uygulamasının yasal yazılım güncelleme işlevini istismar eden daha gelişmiş bir yol kullandı.
Kalinin, kötü amaçlı yazılımların dağıtım yöntemlerinin giderek çeşitlendiğini de vurguladı. Araştırmacı, bu vakada bir sistem uygulamasının meşru yazılım güncelleme işlevinin sömürüldüğünü ifade etti.
Analize göre bulaş zincirinin başlangıç noktası TWCore adlı meşru sistem uygulaması. “com.tw.core” paket adını taşıyan bu uygulama, analiz verisi toplamak ve baş ünitenin yazılımını APK dosyaları halinde güncellemek için tasarlanmış durumda. TWCore, “cardoor[.]cn” alt alan adında barındırılan bir MQTT mesaj aracısına bağlanarak APK’leri indiriyor ve bunları “<twcore cache dir>/external/push/apk/” yoluna kaydediyor. Saldırganlar bu kanalı, JarService adlı bir dropper üzerinden daha önce görülmemiş zararlı yazılımı doğrudan cihazlara ulaştırmak için silaha dönüştürdü. Sorumlu açıklamanın ardından yazılım dağıtım suistimaline yol açan sorun giderildi.
Şirketin paylaştığı akışta dropper önce bir loader çalıştırıyor. Loader, bulaşan cihazla ilgili bilgileri HTTP POST isteğiyle saldırgan sunucularından birine gönderiyor. Ardından sunucu, ikinci aşama yükünü indirmek için bir bağlantı döndürüyor. Örnekte kullanılan adres “144.217.243[.]201/vr34der34/dex3.68.png” olarak verildi. Dosya adındaki “dex3.68” ibaresi, araştırmacıların aynı şema içinde sürüm numarası değiştirerek başka varyantları da bulmasını sağladı. Kaspersky, “3.57” sürümüne kadar uzanan yedi farklı varyantı bu yöntemle çıkardı.
Zincirin sonunda zararlı yazılım, sıradan bir kullanıcı uygulaması gibi kuruluyor ancak kullanıcı arayüzü olmadan arka planda sessizce çalışıyor. Varsayılan yapılandırmada her 90 dakikada bir “/cpc/api/task” uç noktasına POST isteği gönderiyor ve enfekte cihazla yapılandırma sürümünü paylaşıyor. Yapılandırma eskiyse komuta-kontrol sunucusu yeni C2 adresleri ve yeni HTTP yol bilgileri içeren güncel bir yapılandırma yolluyor. Sürüm güncelleme gerektirmiyorsa sunucu bu kez saldırganların “productId” dediği tamsayı komut kimliklerini döndürüyor.
Kaspersky, trojanın her kimliği komut bilgisine eşlediğini ve bu veriyi SharedPreferences API ile seri hale getirilmiş JSON nesnesi olarak sakladığını aktardı. Komut seti, istenmeyen reklam gösterimi, reklam dolandırıcılığı ve ek zararlı modül indirme işlevlerini kapsıyor. Aynı zamanda saldırganlara ekran çözünürlüğü, cihaz modeli, bağlı Wi-Fi ağının kimliği ve MAC adresi gibi geniş cihaz bilgileri de sağlıyor.
Komutların arasında return, clipboard içeriği ayarlayan copy, belirli bir kaynağa POST veya GET isteği atan http, WebView içinde bağlantı açıp JavaScript çalıştırabilen web, bir URL’den rastgele kod indirip çalıştıran loadlib2, tarayıcıda bağlantı açan deeplink ve ICMP ping ile erişilebilirlik denetleyen traceroute yer alıyor. loadlib ve loadlib3 ise tam olarak uygulanmamış durumda.
BADBOX bağlantısı ve zhima modülü
Atıf yapılan faaliyet, geçen yıl HUMAN Satori Threat Intelligence and Research ekibinin BADBOX adıyla izlediği daha geniş bir reklam dolandırıcılığı ve residential proxy şemasındaki MoYu Group ile yüksek güvenle ilişkilendirildi. Google da Temmuz 2025’te Çin’de kimliği açıklanmayan 25 kişi veya oluşuma karşı, BADBOX botnet’i ve altyapısını işletmekle suçladığı bir dava açmıştı.
Araştırmaya göre saldırganlar, “loadlib2” ve “http” komutlarını kullanarak “zhima” adlı bir ters proxy modülünü de indiriyor. Nokia Deepfield Emergency Response Team, bu modülü geçen ay belgelediğini ve ucuz Android TV kutularına kurulu IPTV uygulamaları üzerinden seçici olarak dağıtıldığını duyurmuştu. Böylece kötü amaçlı trafik proxy ağına çevriliyor ve reklam dolandırıcılığı için kullanılıyor.
Kaspersky’den Kalinin, BADBOX botnet’ini kapatmaya dönük siber güvenlik çalışmaları ve kolluk kuvveti operasyonlarına rağmen bu yapıyla bağlantılı tekil aktörlerin faaliyetlerini sürdürdüğünü, dünya genelinde cihazları enfekte etmeye devam ettiğini söyledi. Kalinin’e göre incelenen kampanya, araç baş ünitesi cihazlarını doğrudan hedefleyen ve bu araç sistemlerine özel hazırlanmış bir bulaş zinciri kullanan ilk kötü amaçlı uygulama olarak kayda geçti.
Aynı açıklamada, modern otomotiv platformlarının kötü amaçlı yazılımlara karşı daha güçlü korumaya ihtiyaç duyduğu vurgulandı. Kalinin, bunun modern otomotiv platformları için bir uyarı olduğunu belirtti.