برمجية خبيثة تستهدف أنظمة المعلومات والترفيه في السيارات المتصلة وتحولها إلى بوت نت

تنقل نايلة الصليبي في"النشرة الرقمية" تقرير خبراء امن المعلومات و الأمن السيبراني من شركة "كاسبرسكي" عن برمجية خبيثة تستهدف أنظمة المعلومات والترفيه في السيارات المتصلة التي تعمل بنظام التشغيل "أندرويد" وتحولها إلى  جزء من شبكة "بوت نت"لأهداف خبيثة .

استهداف وحدات التحكم في السيارات المتصلة

كشف باحثون في شركة "كاسبرسكي" لأمن المعلومات والأمن السيبراني عن أول برمجية خبيثة معروفة لنظام التشغيل "أندرويد" تستهدف تحديدًا أنظمة المعلومات والترفيه في السيارات المتصلة بالإنترنت. وتهدف الحملة إلى ضم السيارات المصابة خفيةً إلى شبكة ضخمة من الأجهزة الملوثة، لتصبح كل سيارة جهازًا "زومبي" داخل شبكة Botnet "بوت نت" .

تستهدف الحملة وحدات التحكم المركزية التي تعمل بنظام "أندرويد" والمستخدمة في أنظمة المعلومات والترفيه والوسائط المتعددة المدمجة في بعض طرازات السيارات المتصلة. وهذه الأنظمة، التي تتيح للمصنعين دمج تطبيقاتهم الخاصة بسهولة، يمكن أن تتحول بدورها إلى أهداف لهجمات شبكات البوت نت. وبحسب تحقيقات خبراء "كاسبرسكي"، تركز الحملة على وحدات التحكم الرئيسية في السيارات -Head Units- المجهزة بنظام DoFun، وتحديدًا على آلية التحديث الخاصة بها. إذ يتلقى تطبيق النظام TWCore تعليمات عن بُعد، ثم ينزّل البرمجيات المحددة ويثبتها.

آلية اختراق قناة التحديث

استغل القراصنة آلية التحديث لتمرير برنامج JarService لزرع الفيروسات، على أنه تحديث شرعي، بحيث أصبحت قناة التحديث الموثوقة من أنظمة المعلومات والترفيه في السيارات المتصلة بالإنترنت،نقطة الدخول إلى النظام، بدلًا من اختراق السيارة مباشرة أو التلاعب بأدائها.

تكمن المشكلة هنا في أن وظيفة التحديث، المصممة عادةً لتحديث مكونات أنظمة المعلومات والترفيه في السيارات المتصلة بالإنترنت، تؤدي إلى تثبيت تطبيق جديد بالكامل، بدل الاكتفاء باستبدال برنامج موجود.ويعمل JarService كـ Loader تحميل برمجيات، عبر اختطاف آلية تحديث البرنامج الثابت " Firmware " المدمجة في أنظمة DoFun، المصنعة من قبل شركة Shenzhen Driving Control Technology.

تحويل وحدة الترفيه إلى محطة نقل للشبكة

بعد تثبيت برنامج JarService ، يشغّل وكيلاً  "proxy"إلى جانب وحدة برمجية للاحتيال الإعلاني تحمل اسم  zhima ؛ تقوم وحدة "zhima" بدمج كل جهاز راديو سيارة مصاب بخدمات "PXYEDGE" و"ProxyForU"، وهما منصتان لإعادة بيع الوصول إلى خوادم بروكسي سكنية residential proxy ،فتحول هذه المكونات أنظمة المعلومات والترفيه في السيارات المتصلة بالإنترنت إلى محطة نقل للشبكة -Network Relay-، بحيث تصبح وحدة الترفيه كمبيوترا  صغيرًا متصلًا بالإنترنت بشكل مستمر وينفذ شيفرة لم يوافق عليها مالك السيارة. هذا ويرسل المكون الخبيث، كل تسعين دقيقة تقريبًا، معلومات عن جهاز الراديو إلى القراصنة، تشمل الطراز والدقة وشبكة الإتصال اللاسلكي "واي فاي" وعنوان التحكم في الوصول إلى الوسائط (MAC)، قبل أن ينتظر تعليمات جديدة.  حيث تمر عبر هذه القنوات حركة مرور لعملاء القراصنة عبر اتصال الأجهزة المخترقة، خاصة لأغراض الاحتيال الإعلاني وأنشطة خبيثة أخرى. وفي هذه المرحلة الثالثة أيضًا، تعمل الوحدة "clicker" على عرض الإعلانات ومحاكاة النقرات التلقائية، لعرض إعلانات مخفية، أو محاكاة الزيارات والنقرات في الخلفية، أو تنزيل شيفرة إضافية. وبذلك يُعاد استغلال اتصال السيارة بالإنترنت، الذي خُصص أصلًا للخرائط والبث والتشخيص التقني لأهداف خبيثة، دون علم مالكها.

عزل البرمجية الخبيثة يصعّب اكتشافها

تظل البرمجية الخبيثة محصورة داخل طبقة المعلومات والترفيه والاتصال، ولا تصل إلى الأنظمة الحيوية المرتبطة بسلامة المركبة، مثل التوجيه أو الكبح. وهذا العزل يمنع ظهور أيقونات التحذير أو تغيرات في استجابة الفرامل، بينما تستمر السيارة في العمل بشكل طبيعي وتُستغل شبكتها للاتصال بالإنترنت في الخلفية. هذا ما يجعل من الصعب اكتشاف تلوث الأنظمة بالبرمجية الخبيثة، إذ لا يلاحظ السائق مؤشرات تدفعه إلى الاشتباه بوجود نشاط غير مصرح به داخل وحدة المعلومات والترفيه.

ينسب باحثو "كاسبرسكي" للأمن السيبراني هذه الحملة الموجهة ضد برمجيات DoFun، إلى مجموعة "MoYu"، بدرجة عالية من الثقة، وهي مجموعة كانت قد اارتبطت سابقًا بشبكة البوت نت المعروفة باسم "BADBOX"، والتي اشتهرت باختراقها لعدد كبير من أجهزة التلفزيون وأجهزة "أندرويد" المتصلة بالإنترنت في جميع أنحاء العالم. و كان قد أكد فريق "Nokia Deepfield Emergency Response " بشكل مستقل هذه الأدلة.

هذا وسبق لفريق بحوث الأمن السيبراني وأمن المعلومات  Satori، التابع لشركة HUMAN Security، أن كشف عام 2023 عن عمليات بوت نت BADBOX.كذلك في يونيو 2025، حذر مكتب التحقيقات الفيدرالي الأمريكي من شبكة البوت نت "Badbox 2.0" التي أصابت أكثر من مليون جهاز أندرويد في 222 دولة، بما في ذلك أجهزة التلفزيون المتصلة بالإنترنت وأجهزة الكمبيوتر اللوحية الرخيصة.

إعادة بيع اتصال الأجهزة المخترقة بالإنترنت

يقوم النموذج الاقتصادي لشبكة بوت نت BADBOX على إعادة بيع اتصال الأجهزة المخترقة بالإنترنت بوصفه IP عنوان إنترنت سكنيي، لاستخدامه في عمليات الاحتيال وتبدو حركة البيانات بهذا الشكل كأنها صادرة عن مستهلكين عاديين، بدلًا من خوادم مراكز البيانات غير شرعية.

لم يقدم تقرير خبراء الأمن السيبراني من شركة "كاسبرسكي" تقديرًا لعدد السيارات المتضررة، ولم تفسر كيفية تمكن المهاجمين من اختراق قناة التحديث. ويترك ذلك المجال لفرضيات، من بينها اختراق البنية التحتية للتحديث أو وجود ثغرة في عملية المصادقة على التعليمات التي يتلقاها نظام الترفيه والمعلومات Infotainment في السيارات.

يبدو أن شركة DoFun أصلحت خلل التصميم الذي رصده خبراء "كاسبرسكي" في نظامها المستخدم للسيارات المتصلة.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  و<a