السيارات
في يونيو 2026، اكتشفنا برنامجًا ضارًا جديدًا وغير معتاد يستهدف… وحدات التحكم للسيارات المعتمدة على نظام Android. وتُعد هذه أول حالة موثقة لبرنامج ضار يتم تسليمه إلى وحدات التحكم في السيارات عبر خدمة التحديث التلقائي للبرامج الثابتة. وقد غطينا الحوادث السيبرانية للسيارات عدة مرات من قبل، لكن تلك الحالات كانت ترتبط عمومًا إما بتسريبات البيانات في البنية التحتية الرقمية للشركات المصنعة، أو بتجارب الباحثين في مجال الأمان.
غير أن هذه الحالة تنطوي على برنامج ضار ينشره مجرمو الإنترنت في البيئات الفعلية. وتتمثل أهدافهم في الاحتيال الإعلاني وإنشاء شبكة بوتات وسيطة مكونة من وحدات التحكم المصابة للسيارات. وفي هذا المقال، نوضح ماهية وحدة التحكم، وكيف يصيب المهاجمون هذه الأجهزة بدقة، وما قد يعنيه ذلك للسائقين.
ما هي وحدة التحكم (HU)؟
أولاً، دعنا نوضح ما هي وحدة التحكم للسيارات في الواقع. قد يبدو المصطلح تقنيًا، لكن في الحقيقة يتفاعل معظم السائقين معها في كل مرة يستخدمون فيها سياراتهم. ووحدة التحكم هي نظام المعلومات والترفيه في المركبة — وعادةً ما تتمحور حول شاشة تُستخدم للتحكم في الملاحة والموسيقى ووظائف السيارة الأخرى. وفي السيارات الحديثة، غالبًا ما تكون هذه الوحدات متصلة بالإنترنت.
كثيرًا ما تستخدم الشركات المصنعة نظام Android كنظام تشغيل وحدات التحكم التي تستخدمها – ويرجع ذلك جزئيًا إلى البساطة؛ فنظام Android مصمم لدعم حالات استخدام وحدات التحكم في السيارات، مما يوفر عددًا من المزايا:
- خيارات واسعة لتخصيص الواجهة؛
- سهولة تطوير التطبيقات؛
- إمكانية إضافة تطبيقات ومكونات نظام خاصة بالشركة المصنعة؛
- بيئة برمجية وتطبيقات ضخمة ومتوفرة بالفعل.
ومع ذلك، فإن هذه المزايا ذاتها تتسبب في مخاطر أيضًا — لأن التطبيقات المعنية قد تكون ضارة وليست شرعية. وهذا ما حدث هنا بالضبط: باستخدام تطبيق ضار، جعل المهاجمون السيارات جزءًا من شبكة بوتات. وإليك كيف حدث ذلك…
كيف يخترق المهاجمون وحدات التحكم في السيارات، وما البرامج الضارة التي يستخدمونها؟
أولاً، تجدر الإشارة إلى أن هذا البرنامج الضار لا يؤثر على جميع وحدات التحكم في السيارات، بل تقتصر تحديدًا على تلك التي تستخدم برامج طورتها شركة DoFun الصينية. وتُطور الشركة برامج ثابتة وتطبيقات وخدمات سحابية لأنظمة الترفيه والمعلومات في السيارات المعتمدة على نظام Android، وتخدم أكثر من 30 مليون مالك مركبة حول العالم وفقًا لموقع الويب الخاص بها.
لتسليم البرنامج الضار إلى نظام المعلومات والترفيه في السيارة، يستغل المهاجمون تطبيق TWCore، وهو تطبيق نظام شرعي مسؤول عن تحديثات البرامج في وحدات التحكم من نوع DoFun. وفي الظروف العادية، يجلب TWCore معلومات من سحابة المطور حول الملفات التي يلزم تنزيلها وتثبيتها على الجهاز. وتكون هذه الملفات في الغالب تحديثات لبرامج مثبتة بالفعل على وحدة التحكم، إلا أن الآلية ذاتها يمكن استخدامها لتثبيت تطبيقات جديدة كليًا. وهذا تحديدًا ما يستغله المهاجمون: يوظفون TWCore لتثبيت JarService — وهو فيروس حصان طروادة من نوع مُسقِط الحمولات الخبيثة — على وحدات التحكم.
يعد تطبيق JarService في الأساس تطبيقًا “فارغًا”. أي لا يحتوي على واجهة مستخدم، ولا يحاول حتى انتحال صفة أي خدمة شرعية. ويُعد عدم وجود الواجهة أمرًا منطقيًا تمامًا في هذه الحالة: لا يحتاج المهاجمون إلى إقناع المستخدم بتثبيت البرنامج الضار يدويًا، كما لا يتطلب الأمر أي تفاعل من قِبل المستخدم على الإطلاق.
تحتوي التعليمات البرمجية لتطبيق JarService على حمولة المرحلة التالية بصيغة مشفرة، بالإضافة إلى معلومات حول إصدارها ونقطة الدخول الخاصة بها. وتتمثل مهمة JarService في فك تشفير هذه البيانات وإطلاق المرحلة التالية من الإصابة، وهي أداة تنزيل خبيثة. وبمجرد إطلاقها، تتصل أداة التنزيل بخادم التحكم والسيطرة (C2) التابع للمهاجمين، وترسل إليه معلومات حول البرنامج الضار المُثبت. واستجابةً لذلك، يزود الخادم الأداة برابط لحمولة المرحلة اللاحقة. وتجلب أداة التنزيل الحمولة، وتفك تشفيرها، ثم تنفذها.
في هذه الحالة، تُبت البرامج الضارة ما يُعرف باسم برنامج النقر التلقائي – وهو نوع من البرامج الضارة يُستخدم لزيادة مرات ظهور الإعلانات بطرق احتيالية. وبمجرد تشغيله، يتصل البرنامج الضار بانتظام بخادم القيادة والسيطرة ويرسل إليه معلومات عن الجهاز المصاب – بما في ذلك الطراز ودقة الشاشة وعنوان MAC وتفاصيل شبكة Wi-Fi المتصل بها. وفي المقابل، يمكن أن يتلقى البرنامج الضار أوامر مختلفة من المهاجمين. على سبيل المثال، يمكنه إرسال طلبات HTTP وفتح صفحات الويب. لكن الأهم من ذلك أنه يمكنه تنزيل وتنفيذ تعليمات برمجية خبيثة إضافية على نظام المعلومات والترفيه في السيارة المعرضة للخطر.
يستخدم المهاجمون هذه الإمكانية لتثبيت وحدة خبيثة تسمى zhima، والتي تضم وحدة التحكم المصابة إلى شبكة بوتات. وتقوم شبكة البوتات الناتجة بتشغيل ما يسمى بخدمة الوكيل السكني، مما يسمح للمهاجمين بتوجيه حركة المرور الخاصة بهم من خلال الأجهزة المصابة عند تنفيذ هجمات وأنشطة ضارة أخرى.
من يقف وراء البرنامج الضار وما الذي يحاول المهاجمون تحقيقه؟
يصيب المهاجمون وحدات التحكم في السيارات ببرامج ضارة في المقام الأول لتوسيع شبكة البوتات الخاصة بهم. وقد كشف تحقيق أجراه خبراء Kaspersky أن العملية مرتبطة بمنصة BADBOX الخبيثة، وبشكل أكثر تحديدًا، مع أحد جهات التهديدات السيبرانية المرتبطة بها: MoYu Group. وتشير دلائل في التعليمات البرمجية للبرنامج الضار، إلى جانب التداخل مع البنية التحتية المنسوبة سابقًا إلى MoYu Group، إلى تورط المجموعة في هذا النشاط. وتجمع منصة BADBOX بحد ذاتها مجموعة من الأنشطة الخبيثة التي تتمحور حول إصابة أجهزة Android واستغلال مواردها سرًا.
يحقق المهاجمون بعد ذلك أرباحاً مالية من خلال استثمار الوصول إلى موارد مملوكة لأشخاص آخرين وتحقيق الدخل منها. وأثناء فحص البنية التحتية لشبكة البوتات، اكتشف خبراؤنا روابط تجمع بين MoYu Group وخدمتي PXYEDGE وProxyForU اللتين تقدمان خدمات الوكيل السكني. وتتيح هذه الخدمات للعملاء حول العالم توجيه حركة مرور بيانات الإنترنت الخاصة بهم عبر الأجهزة المتصلة بشبكة البوتات، والوصول بالتالي إلى الإنترنت باستخدام عناوين IP العائدة لتلك الأجهزة. ويشير هذا إلى أن وحدات التحكم المصابة في السيارات ربما تُستخدم بالفعل كجزء من هذه البنية التحتية.
كيف تؤثر البرامج الضارة على المستخدمين؟
أولاً وقبل كل شيء، تستهلك البرامج الضارة جزءًا من الموارد الحوسبية لوحدة التحكم. وقد يؤدي هذا العبء الإضافي إلى بطء نظام الترفيه والمعلومات في السيارة أو تراجع استقراره. وفي الوقت نفسه، يُرجح بنسبة كبيرة أن تنخفض سرعة اتصال الجهاز المصاب بالإنترنت، نظرًا لأن المهاجمين قد يوجهون أحجامًا ضخمة من حركة مرور البيانات عبره.
تجدر الإشارة أيضًا إلى أن قدرات البرامج الضارة لا تقتصر على توفير وظائف الوكيل. ويمكنه تلقي أوامر من المهاجمين، وتنزيل وتنفيذ تعليمات برمجية خبيثة إضافية. ونتيجة لذلك، قد تتباين عواقب الإصابة بالهجوم تبعًا للحمولة الضارة التي يقرر مشغلو شبكة البوتات تثبيتها على الجهاز.
الخاتمة
تُثبت هذه الحالة مجددًا أن الهجمات التي تستهدف جميع أنواع الأجهزة المتصلة بالإنترنت — بدءًا من أجهزة الاستقبال الرقمية للتلفزيون وصولاً إلى أنظمة الترفيه والمعلومات في السيارات — ليست مجرد احتمالات نظرية، بل هي واقع فعلي ملموس. ويواصل المهاجمون بحثهم الدؤوب عن أجهزة جديدة يمكنهم استغلال مواردها لتحقيق مآربهم الخاصة؛ لذا أصبحت الحماية من البرامج الضارة اليوم ضرورة تتجاوز نطاق أجهزة الكمبيوتر والهواتف الذكية بكثير.
أبلغ خبراؤنا المطور عن آلية توزيع البرامج الضارة التي تم تحديدها، وبناءً على ذلك، عالج المطور المشكلات الأمنية التي تم اكتشافها.
يتوفر تحليل تقني كامل للبرنامج الضار على Securelist.
ما الطرق الأخرى التي يمكن للمهاجمين استخدامها لاختراق السيارات، وما المخاطر التي تشكلها على السائقين؟ اقرأ المزيد في مقالاتنا:
النصائح