בעוד מערכת הביטחון בישראל מנהלת מאבק מתוקשר להרחקת כלי רכב מתוצרת סין מבסיסי צה"ל מחשש לריגול מובנה, מתברר שהאיום הממשי והמיידי על רוב הנהגים מגיע דווקא מכיוון אחר לגמרי, מדובר במוצר נפוץ בהרבה וזול להפליא.
חוקרי חברת אבטחת המידע "קספרסקי" חשפו לאחרונה מקרה ראשון מסוגו בעולם הרכב, שבו מערכות מולטימדיה עצמאיות מבוססות אנדרואיד הפכו לרשת בוטנט זדונית הפועלת בשירות גורמי פשיעה ברשת.
ההאקרים מנצלים את מערכת המולטימדיה
במרכז הפרשה עומדות יחידות ראש (מסך מולטימדיה מבוסס אנדרואיד) מתוצרת החברה הסינית DoFun, יצרנית רכיבי אפטרמרקט גנריים המותקנים בדשבורד של אינספור כלי רכב כחלופה מתקדמת למערכות המקוריות.
מדובר במתקפת שרשרת אספקה מתוחכמת: קובץ התקנה זדוני בשם JarService הופץ ישירות דרך מנגנון העדכונים הלגיטימי של היצרנית, המופעל באמצעות אפליקציה בשם TWCore המתקשרת עם שרתי פיקוד ושליטה בסין. הנוזקה פועלת לחלוטין ברקע, ללא ממשק משתמש גלוי, ומורידה רכיב מוצפן שמעביר לתוקפים מידע מפורט על הרשת, את מזהי החומרה והרזולוציה של המסך.
המודול המרכזי שנשתל במערכות נקרא zhima, והוא הופך את מערכת המולטימדיה של הרכב לנקודת פרוקסי. התוקפים משכירים את כתובת ה-IP ואת רוחב הפס של המכונית לצדדים שלישיים ברחבי העולם לצורך עקיפת מנגנוני אבטחה, הסוואת פעילות בלתי חוקית וביצוע הונאות קליקים בפרסום דיגיטלי.
קספרסקי הבהירה כי הנוזקה אינה נוגעת במערכות הבטיחות הקריטיות של הרכב, כמו היגוי, בלמים או מחשב המנוע, אלא משתמשת ברכב כמשאב מחשוב ורשת בלבד.
מאחורי המבצע עומדת קבוצת התקיפה הסינית MoYu, המוכרת מפרשת BADBOX שנחשפה על ידי חברת HUMAN Security בשיתוף גוגל וטרנד מיקרו.
אותה רשת הדביקה בעבר עשרות אלפי מכשירי אנדרואיד זולים, מסטרימרים לטלוויזיה ועד מסגרות תמונה דיגיטליות שנמכרו בפלטפורמות מסחר גלובליות, ואף גררה תביעה משפטית חסרת תקדים מצד גוגל. המעבר של התשתית הזו לעולם הרכב מסמן חציית רף מסוכנת, המעתיקה את שיטות הפעולה של הונאות הצרכנים אל תוך תא הנהג.
קבוצות תקיפה סיניות מנצלות את הפופולריות של הרכיבים הזולים
(צילום: Shutterstock)
מהפכת הרכיבים הזולים מסין
ההקשר הישראלי דורש הפרדה חדה בין החשש של מערכת הביטחון למציאות טכנולוגית. החלטת צה"ל להחזיר כ-700 רכבים מתוצרת מותגים כמו BYD, צ'רי או MG עקב חשש מדליפת טלמטריה ומידע מחיישנים מובנים נוגעת למערכות שהותקנו בפס הייצור של יצרניות הרכב.
לעומת זאת, מערכות DoFun אינן קשורות למותג רכב ספציפי. מדובר ברכיב עצמאי שכל נהג יכול לרכוש באליאקספרס או באיביי ולהתקין בטויוטה, יונדאי, סקודה או רנו, לעיתים באמצעות מסגרת פלסטיק תואמת שמשווה למסך מראה מקורי.
זו תוצאה של המהפכה ברכיבים המכוניות, עולם האפטרמרקט ברכב עבר מהפכה דרמטית, וכיום אפשר לרכוש רכיבים או גדג'טים לכל רכב כמעט והכל מתוצרת סין. אם בשנות התשעים השדרוג הנפוץ היה החלפת רדיו-דיסק פשוט של מותגים ותיקים כמו פיוניר, קנווד או אלפיין, שפעלו במעגל סגור ומבודד, הרי שבעשור האחרון השתלטו על השוק יחידות אנדרואיד פתוחות וזולות מתוצרת Joying, Eonon, Dasaita, ATOTO וכעת DoFun.
המעבר ממכשירי שמע טיפשים למחשבים מלאים המחוברים לרשת הסלולרית, לעיתים ללא פיקוח של חנויות אפליקציות רשמיות וללא מדיניות עדכוני אבטחה מסודרת, פתח פרצת ענק.
במערכות מקוריות המריצות Android Auto או Apple CarPlay, הטלפון החכם של הנהג משמש כמעבד המרכזי והמסך ברכב משמש כמראה פסיבית בלבד, דבר המקטין באופן דרמטי את משטח התקיפה. לעומת זאת, יחידות אנדרואיד מלאות עצמאיות מריצות מערכת הפעלה שלמה, מחזיקות לעיתים כרטיס SIM עצמאי, ומקבלות עדכוני קושחה מאתרים מפוקפקים ללא אימות חתימה דיגיטלית קפדני.
כלומר, אם הסמארטפון שלכם הוא זה ששולט במולטימדיה של הרכב, אתם בסדר, כל עוד מדובר במכשיר מחברה מוכרת ואמינה - גם אם היא מסין. אבל אם מצאתם מערכת מולטימדיה לאוטו ב-200 שקל באתר סיני, קחו בחשבון שהמעטפת שלו כנראה לא עברה בדיקות בטיחות קפדניות, וגם לא בטוח שהיצרן עצמו יודע כיצד להקשיח את האבטחה שלך המוצר שלו.
אם הסמארטפון שלכם הוא זה ששולט במולטימדיה של הרכב, אתם בסדר, כל עוד מדובר במכשיר מחברה מוכרת ואמינה - גם אם היא מסין
כדי להתגונן, על הצרכנים לנקוט משנה זהירות בעת שדרוג מערכות הרכב. יש לוודא האם היחידה מושכת עדכונים אוטומטיים משרתים לא מוכרים ולנטרל אפשרות זו במידת הצורך, להימנע מחיבור היחידה ל-WiFi קבוע או הזנת כרטיס SIM אם אין בכך צורך ממשי, ולהעדיף יחידות שיקוף פשוטות על פני מערכות אנדרואיד עצמאיות מלאות.
בדיקת האפליקציות המותקנות מראש במערכת, בייחוד ברכבי יד שנייה, והקפדה על התקנת עדכונים ממקורות רשמיים בלבד, הן הצעדים הבסיסיים למניעת הפיכת המכונית לצומת ברשת בוטים עולמית.
איך תוודאו שאתם בטוחים?
"מאחר והצרכן הישראלי ידוע בחיבתו לרכישות מרובות מחו"ל באינטרנט, ישנם כמה טיפים שיכולים לעזור לו. ההגנה הרלוונטית כאן היא התנהגותית וטכנית, לא לאומית" אומר ל-ynet אסף חזן, סמנכ"ל הטכנולוגיות בקספרסקי ישראל ומציע כמה צעדים מעשיים:
- בדקו את מקור העדכונים לפני רכישת יחידת ראש אפטרמרקט, בררו האם היא מקבלת עדכוני תוכנה אוטומטיים מהענן של היצרן, והאם ניתן לכבות זאת. עדכון אוטומטי משרת לא ידוע הוא בדיוק הפרצה שנוצלה במקרה הזה.
- הימנעו מחיבור עצמאי לאינטרנט אלא אם באמת נדרש רוב היחידות פועלות מצוין גם בלי חיבור אינטרנט עצמאי - ניווט, מוזיקה ו-Android Auto/CarPlay עובדים דרך הטלפון המחובר. אם אין צורך אמיתי בכרטיס SIM נפרד או ב-WiFi קבוע, עדיף שלא לחבר - כך חוסמים את רוב פרצות התקיפה מלכתחילה.
- העדיפו יחידות עם Android Auto/CarPlay "רגיל" על פני "אנדרואיד מלא" - יש הבדל משמעותי בין יחידה שרק משקפת (Mirror) את הטלפון החכם, לבין יחידה עם מערכת הפעלה אנדרואיד עצמאית שמריצה אפליקציות משלה. ככל שפחות תוכנה עצמאית רצה על היחידה - כך משטח התקיפה קטן יותר.
- בדקו אילו אפליקציות מותקנות מראש בין אם קונים יחידה חדשה או רכב יד שנייה עם יחידה כזו כבר מותקנת - כדאי לבדוק אילו אפליקציות מגיעות מותקנות מראש, ולהסיר כל מה שלא הכרחי לשימוש.
- עדכנו קושחה רק מהמקור הרשמי אם כבר קיימת יחידה כזו ברכב - יש לוודא שעדכונים מתקבלים אך ורק מהאפליקציה/אתר הרשמיים של היצרן, ולא מקבצי APK צד שלישי (כאלה שצריך להעתיק מהמחשב לכרטיס זיכרון ואחר כך להתקין בטאבלט, ר"ק). חשוב לציין - במקרה לעיל זה בדיוק הערוץ שהותקף, כך שזו לא הגנה מושלמת, אך היא עדיין מפחיתה סיכון לזיהומים נוספים.
הפרשה ממחישה כיצד טשטוש הגבולות בין רכב, מחשב וסמארטפון יוצר פערי אבטחה שאינם תלויים עוד בארץ הייצור של המכונית, אלא בשרשרת האספקה של הרכיבים הזולים שחודרים אליה לאחר מכן. בעוד תשומת הלב מופנית ליצרניות הרכב הגדולות, הסכנה האמיתית לפרטיות ולמשאבי הרשת של הצרכן הפרטי עשויה להסתתר דווקא במסך המגע המבריק שנרכש בכמה עשרות דולרים ברשת.
