MoYu يستهدف وحدات رأس السيارات بنظام Android: شبكة بوت نت وكيلية عبر سلسلة التوريد

مقدمة تحليلية

بتاريخ 22 أغسطس 2026، كشفت أبحاث كاسبرسكي عن هجوم معقد عبر سلسلة التوريد يستهدف وحدات رأس السيارات العاملة بنظام Android. هذه العملية، المنسوبة لمجموعة MoYu، التي ارتبط اسمها سابقاً بشبكة برمجيات BadBox الخبيثة، تمثل أول حالة موثقة لسلسلة إصابة برمجية خبيثة مصممة خصيصاً لوحدات رأس السيارات المستهدفة. استغلت MoYu تطبيق تحديث شرعي تابع لشركة DoFun، وهي مزود صيني للبرمجيات والعتاد السحابي والخاص بالسيارات، والمملوكة لشركة Shenzhen Driving Control Technology Co., Ltd. تم تحميل ملف APK خبيث من خلال تطبيق TWCore الشرعي، الذي يتلقى التعليمات عبر خادم MQTT على cardoor[.]cn، مما حول الأجهزة المخترقة إلى عقد لشبكة بوت نت وكيلية ووسيلة للاحتيال الإعلاني.

هذا الاستهداف الدقيق لأحد مكونات البنية التحتية للسيارات يعكس تحولاً خطيراً في ساحة التهديدات السيبرانية.

التحليل التقني

تبدأ آلية الهجوم عندما يقوم تطبيق TWCore الشرعي، وهو مكون أساسي في أنظمة DoFun، بتحميل ملف APK غامض وخبيث يدعى JarService. هذا التطبيق ليس له واجهة مستخدم ويقوم، فور تشغيله، بفك تشفير وتنفيذ محمل مرحلة ثانية. يقوم المحمل بإنشاء اتصال مع خادم للقيادة والتحكم (C2)، ليقوم بعدها بتنزيل حمولة مشفرة إضافية. هذه الحمولة النهائية تجمع بيانات حساسة من الجهاز المصاب، تتضمن: طراز الجهاز، دقة الشاشة، Wi-Fi SSID، وعنوان MAC، ثم ترسلها إلى المهاجمين.

يدعم البرمجية الخبيثة تسعة أوامر محددة يتلقاها من المهاجمين:

• return: استرداد قيمة محددة من تخزين SharedPreferences الخاص بنظام Android.
• copy: نسخ محتوى مخزن أو تم تنزيله إلى حافظة الجهاز.
• http: إرسال طلبات HTTP GET أو POST وحفظ جزء من الاستجابة.
• web: فتح عنوان URL في WebView وتنفيذ JavaScript.
• loadlib: لم يتم تنفيذه بالكامل وقت نشر تقرير كاسبرسكي.
• loadlib2: تنزيل وتنفيذ تعليمات برمجية عشوائية أو وحدات إضافية.
• loadlib3: لم يتم تنفيذه بالكامل وقت نشر تقرير كاسبرسكي.
• deeplink: فتح مورد محدد في المتصفح.
• traceroute: التحقق مما إذا كانت المضيفات المحددة يمكن الوصول إليها باستخدام ICMP ping.

أظهرت التحقيقات أن المشغل قام بتحميل وحدة وكيل عكسي باسم 'zhima' بشكل أساسي، مما يحول وحدة الرأس إلى عقدة ضمن شبكة بوت نت وكيلية. بالإضافة إلى ذلك، تم رصد طلبات ويب تستهدف أنشطة الاحتيال بالنقر. تؤكد كاسبرسكي أن هذه البرمجية الخبيثة لا تتداخل مع أنظمة القيادة أو التحكم الحيوية في المركبة، بل صُممت لأغراض الاحتيال الإعلاني وتحويل وحدات رأس السيارات المتصلة بالإنترنت إلى عقد وكيل سكنية لأغراض تحقيق الدخل.

السياق وتأثير السوق

يمثل استهداف وحدات رأس السيارات المستندة إلى Android، والتي تعمل كمراكز قيادة لأنظمة المعلومات والترفيه والملاحة في السيارات، مرحلة جديدة في توسع الهجمات السيبرانية. مقارنة بالأنظمة المدمجة من الشركات المصنعة الأصلية (OEM)، غالبًا ما تعتمد وحدات رأس Android العامة، مثل تلك التي تبيعها DoFun، على سلاسل توريد أقل إحكامًا وتتأثر بشكل أكبر بمخاطر الجهات الخارجية. كان المعيار السابق، وإن لم يكن مثاليًا، هو الافتراض بأن تطبيقات التحديث الرسمية موثوقة تمامًا؛ وقد دحض هجوم MoYu هذا الافتراض بفعالية. في سياق أوسع، تشير تقارير مثل "The Blue Report 2026" إلى أن 37% فقط من إجراءات المهاجمين يتم حظرها بمجرد حصولهم على بيانات اعتماد صالحة، مما يبرز التحدي المستمر في الدفاع عن الأنظمة بعد الاختراق الأولي.

هذا الاختراق لا يضر فقط بسمعة DoFun، بل يثير تساؤلات حول ضعف قطاع كامل من موردي مكونات السيارات الذين يتبنون نماذج أعمال تعتمد على المصادر الخارجية. أبلغت كاسبرسكي شركة DoFun بنتائجها، وأفادت الشركة الصينية أنها قامت بحل المشكلة، لكن تفاصيل هذا الحل لم تُنشر بعد.

رؤية Glitch4Techs

الحكم النهائي واضح: الهجوم على وحدات رأس سيارات Android ليس مجرد حادثة منعزلة، بل هو مؤشر على إهمال منهجي في أمن سلسلة التوريد لقطاع التكنولوجيا في السيارات. على الرغم من أن برمجيات MoYu الخبيثة، JarService، حاليًا لا تتداخل مع أنظمة القيادة الحيوية، فإن استهدافها لتطبيق TWCore الشرعي التابع لـ DoFun لإصابة الأجهزة يدل على فشل أمني أساسي. هذا الاستغلال لتطبيق تحديث شرعي يمثل انهيارًا لثقة المستخدمين ويفتح الباب أمام هجمات أكثر خطورة مستقبلاً. إذا كان بالإمكان تحويل السيارات إلى عقد لشبكات بوت نت لأغراض الاحتيال الإعلاني اليوم، فإن غدًا قد يحمل سيناريوهات تتجاوز بكثير مجرد الخسائر المالية، مستغلة نفس نقاط الضعف التي تم تجاهلها.

إن القول بأن المشكلة "حُلت" دون تقديم تفاصيل فنية عن كيفية منع تكرارها هو استخفاف بالخطر الحقيقي.