[科技界] Android应用被黑 数百万汽车面临被盗风险

作者:Renata？Salo

导语:智能手机有被黑的风险。一旦手机被黑，网络控制的所有互联网汽车功能都会落入黑客的控制。

车联网时代，汽车厂商和第三方开发者竞相将智能手机变成遥控器，让司机通过手机实现车辆定位、解锁/解锁等功能，甚至有些应用可以实现“骑士”把汽车或卡车叫到身边的场景。

然而，智能手机在提供便携性的同时，也存在被黑的风险。一旦手机被黑，网络控制的互联网车的所有功能都会落入黑客的控制。

而且最近发布的调查结果显示，这种担忧是完全存在的。最近，俄罗斯安全公司卡巴斯基的一组研究人员测试了九款互联网汽车(来自七家公司)的安卓应用。这些应用的下载量已经超过了几十万，甚至有的应用已经超过了一百万。然而，他们发现这些应用程序甚至没有提供最基本的软件保护，更不用说帮助车主保护这一重要而宝贵的财产了。

研究人员表示，通过使用根目标设备来欺骗用户安装恶意代码，黑客可以使用卡巴斯基测试的所有七个应用程序来定位车辆、解锁车门，甚至在特定条件下启动点火。

点火

为了避免偷车贼利用这些信息犯罪，研究人员拒绝提供测试应用的详细名称。然而，他们认为应该警告汽车行业，汽车制造商应该对安全问题更加谨慎。

卡巴斯基安全研究员维克多·切比雪夫(Viktor chebyshev)表示:“为什么互联网汽车应用开发商比银行应用开发商更注重安全性？他们可以帮助用户控制各种有价值的东西，但他们往往不会过多考虑安全机制。ゥ

研究人员发现，最恶劣的攻击行为是允许黑客进入上锁车辆内部；偷车贼可以通过复制钥匙或禁用车辆防盗报警器来造成更严重的后果。研究人员指出，虽然特斯拉的车没有包括在这次测试中，但它被允许通过智能手机应用程序开始驾驶，一旦智能手机被入侵，将造成更严重的损失。

虽然对应用程序的很多漏洞进行了综合分析，但在测试过程中，只有一个漏洞被随机用于攻击受影响的车型。此外，研究人员表示，没有安卓恶意软件被激活来使用他们描述的攻击方法。

但他们仍然认为，仅仅看应用的代码脚本，偷车贼就可能知道如何利用这些漏洞和功能，他们还指出，来自黑客论坛的有限证据表明，这种攻击已经引起了黑市的关注和兴趣。

根据论坛帖子截图(下半部分)，已经有关于互联网汽车代金券的交易信息，包括不同市场、不同车型的用户名、密码、pin码、vin信息。每个账户的市场价格是几百美元。切比雪夫说:“网络罪犯现在已经将这些攻击作为目标。ゥ

卡巴斯基研究人员概述了用于测试android应用程序的三种技术。(一般认为ios更难入侵。)。这次测试，除了一个以外，所有应用中的用户名或密码都是以未加密的形式存储在手机中的，有些应用甚至没有加密。黑客通过根(利用漏洞获得设备操作系统的所有权限)受害者的手机访问本地存储的登录信息，并将其发送到他或她的命令和控制服务器。

第二，安全研究人员认为，黑客会欺骗车主下载并安装含有恶意程序的修改过的互联网汽车应用程序，从而获取登陆细节。再次，偷车贼可能通过目标设备感染可以执行“叠加”攻击的恶意程序:一旦打开车辆应用，恶意程序就会自动加载并替换为虚假界面，从而窃取并转移用户凭据。黑客甚至可以加载包含多个覆盖的恶意程序，从而欺骗受害者他们已经完成了所有的互联网汽车连接。切比雪夫说:“如果我是一个攻击者，我会覆盖所有的互联网汽车应用，只窃取所有应用的证书。ゥ

系好安全带

卡巴斯基研究人员表示，他们已经向几家汽车制造商报告了潜在的安全隐患，并仍在通知其他汽车经销商。但他们也注意到，他们指出的问题不仅仅是安全漏洞，而是缺乏有效的安全性。对存储在设备上的凭据进行加密或散列，添加双因素身份验证或指纹识别，并创建完整性检查以确保应用程序不会被恶意程序修改，这些都可以大大改善这个问题。

事实上，这并不是第一次报道互联网汽车应用缺乏保护措施，也不完全局限于安卓操作系统。2015年，安全专家萨米·卡姆卡(samy kamkar)展示了隐藏在车内的一小块硬件，它可以无线拦截通用安吉星(General onstar)、克莱斯勒(Chrysler)的uconnect、奔驰(Mercedes-Benz)的mbrace和宝马(BMW)的remote等ios应用的凭证。Kamkar的攻击也可以让这些车辆远程定位，解锁，甚至在某些情况下点燃。

相比卡巴斯基和他的攻击方式，kamkar表示:“不会有任何警告:你的凭据会被黑客窃取或重用，你也不会收到任何手机通知。但有趣的是，一旦你的手机被入侵，你生活的其他方面也会受到干扰。ゥ

随着互联网汽车的力量越来越大，卡巴斯基研究人员认为，控制这些功能的应用程序将越来越需要锁定功能。卡巴斯基的研究员米哈伊尔·库津(Mikhail kuzin)说:“也许今天我们可以开门而不触发警报，但这些功能只是互联网汽车的开始。汽车制造商会增加各种功能，以确保我们的生活更加方便。为了将来能应对更多这样的攻击，我们现在需要仔细思考。ゥ

viawired