Od moskiewskiego raportu po medialną histerię. Jak niszowa chińska łatka stała się „zagrożeniem dla Android Auto”
Wystarczyło dziesięć dni, aby analiza techniczna niszowego błędu w oprogramowaniu z Hongkongu przekształciła się w nagłówki straszące paraliżem milionów samochodów i infekcją Android Auto.
Ta historia ma wszystko: objętą sankcjami moskiewską firmę szukającą rozgłosu, chińskich hakerów polujących na komórkowe adresy IP, bezkrytyczne zachodnie agregatory treści stopniowo budujące fałszywą narrację oraz polskie serwisy technologiczne, które w pogoni za klikami całkowicie pomyliły pojęcia.
Oto chronologiczny zapis tego, jak działa współczesny głuchy telefon w mediach technologicznych i dlaczego kierowcy aut z fabrycznym Androidem mogą spać spokojnie (przynajmniej w kontekście podatności, o której tu mowa).
Akt I (20–21 sierpnia): raport z Moskwy i chiński poddostawca
Punktem wyjścia jest publikacja zespołu badawczego Kaspersky Lab. Dla firmy formalnie zablokowanej w USA i systematycznie usuwanej z europejskiej infrastruktury publicznej za ryzyko powiązań ze służbami Kremla, każdy głośny raport to cenna próba ratowania pozycji eksperckiej na Zachodzie. Nie przeczę, że Kaspersky ma bardzo dobrych analityków cyberbezpieczeństwa. Problem tej firmy w zachodnim świecie wynika z prostej obawy: że ich produkty pod naciskiem FSB mogą nie być „czyste”. Tylko tyle i aż tyle. Jednak tu nie chodzi o firmę Eugene’a Kaspersky’ego, lecz o podatność, którą wykryli jego pracownicy.
Od strony czysto technicznej inżynierowie zbadali realny przypadek. Znaleźli podatną w usłudze TWCore, służącej do aktualizacji oprogramowania w niefabrycznych stacjach multimedialnych tworzonych przez firmę DoFun z Hongkongu. Zwracam uwagę na słowo „niefabrycznych”.
Co dokładnie się stało? Otóż grupa hakerska o nazwie MoYu (cyberprzestępczy podmiot przez służby wiązany z Chinami) wykorzystała lukę, by wstrzykiwać złośliwy moduł zhima. To moduł sieciowy typu reverse proxy, jego głównym zadaniem jest przejęcie łącza internetowego zaatakowanego celu do własnych celów agresora. Zaatakowane pojazdy (a dokładniej: nie same pojazdy, tylko niefabryczne moduły inforozrywki w tych samochodach, to kolejne ważne rozróżnienie!) miały posłużyć jako residential proxy – węzły botnetu maskujące nielegalny ruch w sieci za pomocą „czystych” adresów IP z kart SIM zaatakowanych modułów inforozrywki, albo – gdy nie miały własnych kart SIM i korzystały z hotspota np. z telefonu kierowcy – kradzież pasma w łączu internetowym smartfona kierowcy (ale pamiętajmy, sam smartfon pozostaje nietknięty!). Zresztą, problem był punktowy, a producent oprogramowania odpowiedzialnego za usługę TWCore przygotował odpowiednią łatkę. I sprawę można byłoby zamknąć, ale wtedy do gry weszły zachodnie (i polskie) serwisy informacyjne.
Akt II (21–25 sierpnia): przebicie na Zachód i pierwsza mutacja faktów
Początkowo sprawę opisano rzetelnie. Serwisy branżowe (m.in. PCMag) trafnie zdefiniowały problem jako atak na łańcuch dostaw konkretnego poddostawcy nakładek i motywów graficznych. Ot, zwykła nudna informacja, która może zaciekawić jedynie analityków cyberbezpieczeństwa. Chwilę później uruchomił się jednak mechanizm pozycjonowania pod wyszukiwarki. Agregatory zauważyły, że niszowa nazwa „DoFun” nie generuje ruchu, ale hasło „Android” już tak. No i poszło!
W nagłówkach zaczęły pojawiać się nośne hasła o „zagrożeniu dla systemów Android w samochodach”. Liczbę 30 milionów urządzeń – będącą w rzeczywistości marketingową deklaracją DoFun o skali ich całej bazy produktowej (co absolutnie nie oznacza liczby zainfekowanych urządzeń!) – zaczęto bezrefleksyjnie przedstawiać jako liczbę aut bezpośrednio wystawionych na atak. Wtedy złapałem się za głowę po raz pierwszy. Niestety, nie ostatni.
Akt III (26–30 sierpnia): Autoevolution dokręca śrubę, a polskie media mylą pojęcia
Szczyt dezinformacji nastąpił pod koniec sierpnia. Serwis Autoevolution opublikował tekst pod alarmistycznym tytułem: „Android Is the Achilles’ Heel” (Android jest piętą achillesową, w domyśle: w autach), strasząc zacinającym się Spotify i powolnym Waze w nowoczesnych pojazdach. I kompletnie ignorując fakt, że owo zacinanie się wynika po prostu z faktu że chińscy hakerzy przepychają swoje dane przez łącze, z którego jednocześnie chce korzystać kierowca.
Prawdziwe kuriozum wydarzyło się jednak nad Wisłą, gdzie część dużych portali technologicznych (naprawdę dużych) przepisała zachodnie doniesienia bez elementarnej weryfikacji pojęć. W nagłówkach pojawiły się ostrzeżenia przed „zainfekowaniem radia z Android Auto”. Moja głowa utonęła w dłoniach…
To fundamentalny błąd merytoryczny. Android Auto to protokół projekcji obrazu przesyłany z telefonu na ekran samochodu (za pomocą kabla lub Wi-Fi). Tak samo jak Apple CarPlay. W Android Auto nie da się zainstalować chińskich bibliotek DoFun ani plików wykonywalnych APK, ponieważ całe przetwarzanie odbywa się w odizolowanym systemie smartfona. A przypomnę usługa z luką nie była na smartfonach tylko na akcesoryjnych, niefabrycznych modułach infotainment.
Android Auto nadrabia zaległości. Mapy Google wreszcie zyskują prędkościomierz
Mam nadzieję, że widzicie ten absurd. Zrównanie niefabrycznej stacji multimedialnej z AliExpress z protokołem Android Auto w nowych autach pokazało kompletny brak zrozumienia architektury systemów pokładowych.
Don’t Panic!
Jeszcze raz uspokoję wszystkich tych, którzy być może obawiają się o ich systemy w pojeździe. Opisana podatność nie dotyczy ani Android Auto (rzutowanie ekranu ze smartfona na ekran auta), ani Apple CarPlay (to samo, tylko w ekosystemie Apple), nie dotyczy też fabrycznych systemów infotainment wykorzystujących kod Android Automotive OS (m.in. Volvo, Renault, Polestar, Porsche, Nissan, Mitsubishi).
Problem dotyczył akcesoryjnych multimedialnych gadżetów tworzących w starszych pojazdach coś na kształt systemu infotainment. I tu uwaga: nie marki DoFun, bo DoFun to dostawca OEM, robiący dla wielu marek (whitelabel), zatem jeżeli ktoś sprawił sobie do Passata B6, czy Astry H taką multimedialną stację 2DIN, to może stać się celem ataku, ale łatwo atak zneutralizować. Jeżeli dana stacja ma własną kartę SIM wystarczy ją wyjąć. A jeżeli taką stację wykorzystujemy wyłącznie po bo, by mieć Android Auto czy Apple CarPlay z telefonu, to problemu w ogóle nie ma, bo takie podejście całkowicie omija dziurawą usługę TWCore.
Natomiast chcę zwrócić waszą uwagę na coś innego. Cała sprawa to podręcznikowy przykład tego, jak rutynowa łatka bezpieczeństwa w niszowym oprogramowaniu potrafi – po przejściu przez moskiewski PR i zachodnie maszynki do generowania klików – zamienić się w globalną bajkę o zhakowanych samochodach. I jeszcze jedno: jeśli ktoś w rosyjskim FSB właśnie czyta te narracje o ataku, zapewne może tylko zacierać ręce. Nie musiał robić nic — wystarczyło, że zachodni i polscy autorzy wykonali za niego całą pracę, pompując niszową podatność do rangi zagrożenia dla milionów samochodów.
