ما هو فيروسي وحدات السيارة أندرويد؟ شرح كامل

اكتشف باحثو Kaspersky في يونيو 2026 فيروسًا من عائلة جديدة يستهدف وحدات السيارة المزودة بنظام أندرويد. الفيروس ينتشر عبر نظام التحديث المدمج في أجهزة شركة DoFun، ويحول الوحدة إلى جزء من شبكة بروكسي لإعلانات احتيالية. هذا أول حالة موثقة لفيروس يصيب وحدة سيارة من خلال سلسلة عدوى مصممة خصيصًا لهذا النوع من الأجهزة.

لمستخدمي أندرويد، هذا الاكتشاف يهم لأن وحدات السيارة أصبحت أهدافًا جديدة للمجرمين السيبرانيين. هذه الوحدات تحتوي على شرائح SIM تتيح الاتصال بالإنترنت، مما يجعلها بوابة محتملة لاختراق بياناتك الشخصية واستخدام جهازك في أنشطة غير قانونية دون علمك.

Kaspersky Security Cloud

Kaspersky Lab Switzerland

أمن الإنترنت: حماية البيانات والخصوصية ، ومكافحة التصيد ، والتحقق من الحساب

الأدوات

تحميل (51.8 MB)

كيف يعمل فيروس وحدات السيارة

الفيروس يبدأ من تطبيق نظام شرعي يسمى TWCore . هذا التطبيق مصمم لجمع البيانات التحليلية وتحديث برامج الوحدة من خلال وسيط رسائل MQTT مستضاف على نطاق فرعي cardoor.cn. التطبيق يحمل ملفات APK ويثبتها في المسار المخصص للتحديثات.

المهاجمون استغلوا قناة التحديث هذه لتوصيل فيروس يعرف باسم JarService مباشرة إلى الوحدات. يعمل JarService كملف تنفيذي خفي (dropper) ينزل طبقة إضافية من البرمجيات الخبيثة. هذه الطبقة ترسل معلومات الجهاز إلى خوادم المهاجمين، ويتلقى ردًا يحتوي على رابط لتحميل الحمولة التالية.

الحمولة النهائية تعمل كتطبيق عادي بدون واجهة مستخدم، وتعمل في الخلفية بشكل خفي. تتصل بخادم القيادة والتحكم كل 90 دقيقة افتراضيًا، وترسل معلومات الجهاز بما في ذلك دقة الشاشة وطراز الجهاز ومعرف الشبكة المتصلة وعنوان MAC.

أوامر الفيروس وقدراته

الفيروس يدعم تسعة أوامر مختلفة تتيح للمهاجمين تنفيذ إجراءات متعددة على الجهاز المصاب. هذه الأوامر تشمل عرض إعلانات غير مرغوبة، وتنفيذ عمليات احتيال إعلاني، وتحميل وحدات خبيثة إضافية.

الأوامر تشمل return لاسترجاع قيم من SharedPreferences، و copy لتعيين محتويات الحافظة، و http لإرسال طلبات POST أو GET. الأمر web يفتح رابطًا في WebView وينفذ كود JavaScript بداخله. الأمر loadlib2 يحمل وينفذ كودًا من رابط خارجي. هناك أيضًا أوامر deeplink لفتح روابط في المتصفح، و traceroute للتحقق من توفر الموارد عبر ICMP ping.

المهاجمون يستخدمون أوامر loadlib2 و http لتحميل وحدة "zhima" البروكسي العكسي، التي تم توثيقها من قبل فريق Nokia Deepfield الشهر الماضي. هذه الوحدة تُسلَّم بشكل انتقائي عبر تطبيقات IPTV المثبتة في أجهزة أندرويد رخيصة.

من وراء الهجوم

النشاط مرتبط بثقة عالية بمجموعة MoYu، التي كشف عنها فريق HUMAN Satori Threat Intelligence العام الماضي كجزء من مخطط احتيال إعلاني وشبكة بروكسي سكنية يُعرف باسم BADBOX. في يوليو 2025، رفعت Google دعوى قضائية ضد 25 كيانًا صينيًا مجهول الهوية بتهمة تشغيل شبكة BADBOX وبنيتها التحتية.

رغم جهود خبراء الأمن السيبراني والجهات القانونية لإغلاق شبكة BADBOX، استمر الفاعلون المرتبطون بها في أنشطتهم الخبيثة، infecting أجهزة في جميع أنحاء العالم. هذا الفيروس هو التحذير الأول من أن منصات السيارات الحديثة تحتاج بشكل عاجل إلى حماية قوية ضد البرمجيات الخبيثة.

كيف تحمي جهاز أندرويد الخاص بك

لحماية جهاز أندرويد من هذا النوع من التهديدات، هناك عدة خطوات عملية يمكن اتخاذها. ثبت تطبيق حماية موثوق من مصادر معروفة. Kaspersky يقدم تطبيق حماية متوفر على APKPure يمكنه اكتشاف وإزالة البرمجيات الخبيثة. يمكنك download التطبيق مباشرة وتثبيته للحصول على حماية فورية.

تجنب تثبيت تطبيقات من مصادر غير موثوقة، خاصة تطبيقات IPTV المجانية التي قد تكون ناقلة لبرمجيات خبيثة. حدث نظامك فقط من خلال القنوات الرسمية، وتأكد من أن نظام التحديث لا يقبل ملفات من خوادم غير موثقة.

راجع الأذونات التي تطلبها التطبيقات المثبتة. إذا كان تطبيق بسيط يطلب أذونات غير مبررة مثل الوصول إلى الحافظة أو إرسال طلبات HTTP في الخلفية، فهذا مؤشر على نشاط مشبوه.

علامات الإصابة المحتملة

اكتشاف الإصابة على وحدة سيارة أندرويد أصعب من الهاتف المحمول لأن المستخدم لا يتفاعل مع النظام بشكل مباشر كثيرًا. ومع ذلك، هناك علامات يمكن الانتباه إليها.

إذا لاحظت زيادة غير مبررة في استهلاك البيانات الخلوية، فقد يكون الجهاز يرسل طلبات إلى خوادم المهاجمين. ظهور إعلانات منبثقة غير متوقعة على شاشة الوحدة أثناء القيادة هو مؤشر آخر. بطء غير معتاد في استجابة الوحدة أو إعادة تشغول عشوائية قد يشير إلى نشاط خفي في الخلفية.

إذا اشتريت وحدة سيارة أندرويد بعد تركيبها، فمن الحكمة إعادة ضبط المصنع وتحديث البرامج الثابتة من المصدر الرسمي للشركة المصنعة، وليس من نظام التحديث المدمج الذي قد يكون مخترقًا.

الفرق بين فيروس وحدات السيارة والفيروسات الأخرى

فيروس وحدات السيارة يختلف عن فيروسات أندرويد التقليدية في عدة جوانب. أولاً، سلسلة العدوى مصممة خصيصًا لوحدات السيارة، وليست مجرد فيروس هاتف محمول يعمل بالصدفة على وحدة سيارة. ثانيًا، الفيروس يستخدم قناة تحديث شرعية في النظام، مما يجعل اكتشافه أصعب.

ثالثًا، الفيروس لا يستهدف سرقة البيانات مباشرة، بل يركز على إنشاء شبكة بروكسي واحتيال إعلاني. هذا يعني أن المستخدم قد لا يدرك أن جهازه مصاب لأن الفيروس لا يسبب أضرارًا مرئية، بل يعمل في الخلفية لتحقيق أرباح للمهاجمين.

أهمية الأمن السيبراني للسيارات

هذا الاكتشاف يبرز حقيقة مهمة: السيارات الحديثة أصبحت أجهزة كمبيوتر متصلة بالإنترنت، وهي عرضة لنفس التهديدات التي تواجه الهواتف الذكية. مع انتشار وحدات السيارة المزودة بنظام أندرويد في كل من السيارات الجديدة ووحدات ما بعد السوق، شريحة كبيرة من التطبيقات القياسية - وبالتالي الفيروسات - يمكنها العمل عليها.

القطاع السيبراني للسيارات يحتاج إلى معايير أمنية أقوى، بما في ذلك التحقق من سلامة تحديثات البرامج الثابتة، وعزل الأنظمة الحرجة عن الأنظمة الترفيهية، وتوفير آليات اكتشاف التهديدات في الوقت الفعلي. حتى ذلك الحين، المستخدمون بحاجة إلى اليقظة والأدوات المناسبة لحماية أنفسهم.

الخلاصة

فيروس وحدات السيارة أندرويد هو تذكير بأن كل جهاز متصل بالإنترنت هو هدف محتمل. المهاجمون يبتكرون طرقًا جديدة للتسلل إلى الأجهزة، وقنوات التحديث الشرعية أصبحت ساحة معركة جديدة. لتجنب الإصابة، ثبت تطبيق حماية موثوق، وتجنب المصادر غير الموثقة، وراقب سلوك جهازك. الأمن السيبراني للسيارات هو مجال ناشئ سيشهد المزيد من التطورات في السنوات القادمة.

Kaspersky Security Cloud

Kaspersky Lab Switzerland

أمن الإنترنت: حماية البيانات والخصوصية ، ومكافحة التصيد ، والتحقق من الحساب

الأدوات

تحميل (51.8 MB)