Android搭載カーナビが狙われた！ファームウェアに潜むマルウェアの脅威とは？

Androidベースの車載ヘッドユニットのファームウェアがマルウェアに感染したことが報告されました。自動車のインフォテインメントシステムを標的とした攻撃は、ユーザーのプライバシーや車両のセキュリティに深刻な影響を及ぼす可能性があります。最新のセキュリティパッチを適用し、不審なソースからのアプリインストールは控えるなど、対策を徹底してください。

「ヘッドユニット自体には攻撃者にとって価値のあるものなんて入っていないから、典型的な『昔ながらの』Androidマルウェアの標的といえば、ボットネットに組み込むためにデバイスに感染させるくらいだろう」って話だけど、みんなスマホとペアリングしてるからな。将来的にこういうマルウェアが横方向に拡散していくのは容易に想像できる。

「車をソフトウェアの塊として扱う」というコンセプトの成れの果てだな。セキュリティベンダーが「あなたの車にもアンチウイルスを！」なんて売り込み始めるのが待ちきれないよ。

なぜかはわからないけど、これが自分の車に入ってるって考えると、スマホに入ってるよりずっと怖いんだけど。Android AutoやCarPlayって、OSが別個にインストールされてるんじゃなくて、スマホの画面をパススルーしてるだけっていうイメージだったから（ヘッドユニット自体が勝手にAPKをインストールできるなんて知らなかったよ）。あと、John Gruberがこれを取り上げたら面白いことになりそう。

……で、クリック詐欺のためにボットネットに追加されるってわけだ。サイバーセキュリティの二面性って面白いよね。とんでもなく高いハードルを越えたと思ったら、次は低いハードルをさらに下げてしまう。水道を監視するPLCは広告をクリックできないから長い間無視されてきたけど、攻撃対象になるには戦争が必要だったっていうね。

ってことは、攻撃者は$CAR_COMPANYのアップデートサーバーを乗っ取る必要があるのか？

ヘッドユニットがCANバスに接続されてる車はたくさんあるからね。つまり、このマルウェアは直接事故を引き起こすために悪用される可能性があるってこと。例えばこんな事例もあるし：https://news.ycombinator.com/item?id=19751872

記事ではあまり明確に書かれていないけど、このマルウェアは、Androidを搭載した安価な中国製アフターマーケットのヘッドユニット向けに、『メーカー公式』のOTAアップデートを通じて配布されているものだね。任意のAndroid系ヘッドユニットに自己増殖するわけじゃないし、Android Autoにも影響はない。Android Autoは「ただの」画面ミラーリングプロトコルで、ソフトウェアの大部分は接続されたスマホ側で動いてるからね。これは安価なAndroid TVストリーミングボックスの話とよく似ているよ。あれも最初から工場出荷時にレジデンシャルプロキシやマルウェアが仕込まれていることが多いし、インフラの大部分は共有されているんだろう。

VW Up!の純正オーディオみたいな、スマホを固定するだけのホルダー以上に安全なものはないんじゃない？画面の大きなスマホを使えばそれが最強に安全だよ。Androidには、ヘッドレスバインディング経由で車のオーディオシステムを制御できるオートモードもあるし。このマルウェアがそこを狙うかはわからないけど、仕組みがシンプルな分、安全である可能性は高いよね。

「自動車業界は数十年にわたるコンピューティングのベストプラクティスにどう適応してきたか？」

・ヘッドユニットがCANバスに直結されていて、Bluetoothの脆弱性から攻撃者が遠隔でロックや窓、ひどい場合は走行制御までハック可能

・いたるところにある無防備なCANバスケーブルのせいで、ヘッドライトや泥除けの裏から車が盗まれ放題

・キーレスエントリーはファラデーポーチ頼みのひどいありさま

・OBDポートを使えば泥棒が数秒で鍵を複製できる

・治安のいい地域でさえハンドルロックを使わなきゃいけない

悪いけど、マジで笑えるし、自動車業界は癌だよ。せめてTeslaはユーザーへのアップデートや製品改善に取り組んでるけど、他のメーカーは5年間ずっと同じモデルを出し続けて、運が良ければカップホルダーや（たぶんroot化可能な）USBポートを増やす程度。まあ、Teslaの「すべてをタッチスクリーンでやる」っていう執着もクソだけどね。

これだけやっておきながら、99%の車においてダッシュボードにiPhoneを貼り付ける方がマップもエンタメも快適なんだから救いようがない。しかもスマホホルダーを標準装備するどころか、エアコンの吹き出し口を塞がなくて済むようなマウントポイントすら作れないっていうんだから。

簡潔で役に立つ。珍しい組み合わせだね。