في 21 أغسطس 2026، نشرت "مختبر كاسبرسكي" تحليلًا لأول برنامج ضار موثق لأجهزة الرأس في السيارات التي تعمل بنظام أندرويد. لا تقوم الراديو المصاب بسرقة الموسيقى أو تتبع المسار - بل تتحول إلى عقدة في مجموعة بروكسي سكنية وتصبح أداة للنقر على الإعلانات الاحتيالية. الأهم في هذه القصة ليس السيارة نفسها، بل طريقة التسليم: لم يقنع المهاجمون الشركة المصنعة بدمج SDK، بل اختطفوا آلية تحديث البرنامج الثابت الخاصة بها.
ماذا وجدوا بالضبط
تم اكتشاف الحملة في يونيو 2026، وصدرت التقارير العامة في 21 أغسطس. الهدف هو أجهزة الرأس التي تعمل ببرنامج ثابت من الشركة الصينية DoFun (Shenzhen Driving Control Technology Co., Ltd)، وهي راديوهات بعد البيع تُركب بدلاً من الراديو الأصلي. يربط كاسبرسكي العملية بثقة عالية بمجموعة MoYu، التي ظهرت سابقًا في قضية بوت نت BADBOX - المنصة التي كانت تحتوي على أبواب خلفية مثبتة في البرامج الثابتة والتي كتبت عنها HUMAN Security في عام 2023.
تبدو سلسلة العدوى كما يلي:
- نقطة الدخول - تطبيق النظام الشرعي TWCore، الذي يتولى في أجهزة DoFun مسؤولية التحليلات والتحديثات. يتلقى الأوامر عبر وسيط MQTT على النطاق cardoor[.]cn، وفي البروتوكول يوجد علم installNotExists - إذن لتثبيت التطبيق الذي لا يوجد بعد على الجهاز.
- المرحلة الأولى - الدروبر JarService بدون واجهة. الحمولة المفيدة داخلها مشفرة باستخدام XOR بمفتاح متحرك أحادي البايت.
- المرحلة الثانية - محمل: يرسل معلومات عن الجهاز إلى الخادم المسيطر عبر طلب POST ويتلقى روابط للمرحلة التالية.
- المرحلة الثالثة - نقر ومحمّل بروكسي عكسي: يتصل بـ C2 كل 90 دقيقة، ويدعم تسعة أنواع من الأوامر (من بينها http، web، loadlib2، deeplink) ويجلب الوحدة zhima.
وحدة zhima هي جوهر العملية: تفتح اتصالًا عكسيًا إلى الخوادم المسيطرة (تظهر في التقرير عناوين من نوع 107.151.248[.]132 و 128.14.210[.]58، والمنافذ 1337، 7777، 8888، 15000) وتحوّل الجهاز إلى عقدة بروكسي. تعتبر أجهزة الرأس مثالية لهذا الدور: العديد منها يحتوي على فتحة لبطاقة SIM وخروج دائم إلى الإنترنت - وهو أمر ضروري للملاحة وتحديثات البرامج.
لماذا هذا مستوى مختلف وليس "بوت نت آخر"
حتى الآن، كانت القصة الشائعة حول أصل عناوين IP "الرمادية" تبدو كما يلي: يقوم مصنع جهاز رخيص أو مطور تطبيق مجاني بدمج SDK للت monetization عمدًا ويحصل على أموال مقابل ذلك، بينما يوافق المستخدم على EULA غير المقروء. تصيغ Google في تقريرها عن القضاء على شبكة NetNut قناتين لدخول الأجهزة المنزلية إلى شبكات البروكسي: يتم تثبيت البرنامج الضار قبل الشراء أو يقوم المستخدم بتحميل التطبيق بنفسه مع كود بروكسي مخفي.
لا يتناسب حالة DoFun مع أي منهما. هنا المورد ليس له علاقة ولا علم: لقد تم اختطاف قناة موثوقة لتسليم التحديثات. أبلغ كاسبرسكي الشركة، ووفقًا للباحثين، تم حل المشكلة. لكن الاستنتاج العملي للسوق غير مريح: لم يعد التحقق من أصل المجموعة بناءً على مبدأ "أظهروا عقود الشراكة ونص الموافقة" كافيًا. يمكن الحصول على العقدة دون أي مشاركة من الشخص الذي أصدر الجهاز.
اللمسة الثانية المهمة - الربط التجاري. وجد الباحثون لوحة إدارة على النطاق admin.uipoxy[.]com مع تسجيل عبر رموز الدعوة. بمعنى آخر، هذه ليست "بوت نت من أجل البوت نت"، بل واجهة تعمل حيث يتم بيع حركة المرور عبر الأجهزة المصابة لشخص ما. في الوقت نفسه، اكتشف متخصصون من Nokia Deepfield بشكل مستقل نفس وحدة zhima في أجهزة التلفاز. بعبارة أخرى، يتم جمع مجموعة واحدة من فئات مختلفة من الأجهزة - أجهزة التلفاز والراديوهات.
تقدم نطاق العمليات المجاورة مؤشرًا على سبب حدوث ذلك. في 2 يوليو 2026، قامت Google بالتعاون مع مكتب التحقيقات الفيدرالي، IRS-CI وLumen بإيقاف شبكة NetNut: وفقًا لتقديرات Google، كان هناك أكثر من 2 مليون جهاز مخترق. فقط في أسبوع واحد من يونيو، سجلت Telemetry GTIG 316 مجموعة منفصلة من النشاطات التي كانت تمر عبر العقد المفترضة لـ NetNut - من الجرائم الإلكترونية إلى المجموعات التي تعمل في التجسس. لقد تناولنا آلية هذا السوق بشكل منفصل، في المادة حول اقتصاد المجموعة السكنية.
لماذا يتحمل السوق ذلك
الإجابة بسيطة - السعر. وفقًا لدراسة Proxyway لعام 2026، فقط بين بداية عام 2025 ومارس 2026، ظهر في السوق ما لا يقل عن 56 بائع بروكسي جديد، ومعظم خدمات السكن الجديدة هي علامات بيضاء فوق بنية تحتية أجنبية؛ جزء ملحوظ يتم الترويج له ليس من خلال البحث، بل من خلال المنتديات مثل BlackHatWorld. في القطاع السفلي، يكلف غيغابايت من حركة المرور السكنية 0.30 دولار وأقل - هذا السعر غير قابل للتحقيق جسديًا إذا تم جمع المجموعة من خلال المدفوعات للشركاء والعقود مع المشغلين. هذه العروض هي التي تضغط على أسعار السوق بأكمله للأسفل.
بينما ينمو القطاع العلوي: أبلغت Bright Data عن نمو سنوي بنسبة 50% وإيرادات سنوية تبلغ حوالي 300 مليون دولار، وأظهرت NetNut قبل إغلاقها في يوليو زيادة بنسبة 28%، بينما تتراوح بقية المشاركين في السوق من 30% إلى مضاعفة العائدات سنويًا. بمعنى آخر، الطلب على البيانات والوصول ينمو بشكل أسرع من العرض القانوني للعقد، - ويتم سد الفجوة بمثل هذه القصص مثل zhima في الراديوهات.
ماذا يعني ذلك لمن يشتري البروكسيات
من المغري تجاهل الأمر: "أنا لست مالك راديو صيني، هذا لا يتعلق بي". يتعلق الأمر - ولكن من الجانب الآخر من المنضدة. إذا كان مزودك يشتري حركة المرور في القطاع السفلي من السوق، فقد تعمل عبر نفس تلك العقد. العواقب قد تكون عادية:
- الجوار عبر IP. عبر نفس العقدة في نفس الوقت قد يحدث احتيال نقر، أو محاولة تخمين كلمات المرور أو مسح. ترى منصات مكافحة الاحتيال لا ترى أنت، بل السمعة الإجمالية للعناوين - وتخرج الجلسة قبل أن تتمكن من القيام بأي شيء.
- قوائم الحظر. بعد نشر التقارير وعمليات الإزالة، تنتشر النطاقات والعناوين المحددة بسرعة عبر قواعد البيانات السمعة. قد تجد IP "نظيف" تم شراؤه بالأمس في القوائم اليوم.
- عدم استقرار العقدة. الراديو ليس جهاز توجيه منزلي. السيارة تتحرك، ويتحول الجهاز بين الخلايا، وتتغير ASN والجغرافيا؛ في الليل، تقف السيارة مع إيقاف تشغيل الإشعال، وتختفي العقدة ببساطة في منتصف جلستك. بالنسبة للمهام الطويلة مثل التفويض أو العمل مع السلة، هذه انقطاعات مضمونة.
- المخاطر القانونية والسمعة. حركة المرور التي تمر عبر جهاز تم اختراقه عمدًا - وضع سيء في أي نزاع، خاصة إذا كان مقاولك قد وعد بـ "موافقات أخلاقية من المستخدمين".
كيف تتحقق الآن من المجموعة
يجب إعادة صياغة الأسئلة للمورد. سابقًا، كان يكفي "من أين IP" - الآن الأهم هو كيفية تنظيم الرقابة طوال حياة العقدة:
- ما هي نموذج الحصول على العقدة. شبكة شراكة خاصة مع مدفوعات وopt-in واضح، استئجار من مشغل، عقد ISP - أو شراء "جملة" من مصدر غير مسمى. الرفض لذكر مستوى المصدر - هو إجابة بحد ذاته.
- هل هناك مراقبة مستمرة للسمعة. ليس من الكافي فحص العقدة مرة واحدة: العنوان، الذي كان نظيفًا عند الدخول، يتدهور خلال أسابيع. اسأل عن مدى تكرار إعادة تقييم المجموعة وما يحدث مع العنوان الذي تم إدراجه في قائمة الحظر.
- ماذا يفعلون عند عمليات الإزالة. بعد قصة يوليو مع NetNut، تم إعادة ترتيب السوق. لدى المشغل النزيه إجابة واضحة حول كيفية استبدال القطاعات المفقودة، وليس صمتًا وتدهور الجودة.
- تحقق بنفسك. قبل مهمة جدية، قم بتشغيل العناوين الممنوحة عبر قواعد البيانات السمعة - كيف تفعل ذلك، تم تناوله في الدليل حول التحقق من IP في قوائم الحظر. بالإضافة إلى اختبار سلوكي بسيط: إذا كان عنوان "سكني" يتغير ASN والمدينة خلال نصف ساعة، فهذا ليس شقة.
المؤشر العملي: للمهام التي تتطلب قابلية التنبؤ للجلسة، من الأفضل استخدام بروكسيات سكنية ذات أصل شفاف، وحيث تحتاج إلى مشغل هاتف محمول - بروكسيات الهاتف المحمول مع مجموعة واضحة من الشبكات، وليس بطاقة SIM عشوائية في سيارة شخص آخر.
إذا كان لديك راديو أندرويد أو جهاز تلفاز
جزء منفصل من الجمهور - مالكو تلك الأجهزة. لا يوجد "مضاد فيروسات عالمي للراديو"، لكن يمكنك على الأقل القيام بما يلي:
- تحقق مما إذا كانت البرامج الثابتة محدثة: قامت DoFun، وفقًا لكاسبرسكي، بإغلاق الثغرة، لذا فإن التحديث له معنى.
- لا تعطي الجهاز إنترنت دائم إذا لم يكن ضروريًا: بدون شبكة، تصبح العقدة عديمة الفائدة. تحتاج العديد من الراديوهات بعد البيع إلى الاتصال بالشبكة فقط بشكل متقطع.
- راقب حركة المرور على جهاز التوجيه أو عبر بطاقة SIM: تدفق دائم من الجهاز الذي "يلعب الموسيقى فقط" هو علامة مباشرة. نفس الشيء ينطبق على أجهزة التلفاز مع البرامج الثابتة غير الرسمية.
- لا تقم بتثبيت تجميعات غير رسمية أو عملاء من متاجر خارجية: في قصة NetNut، كانت هذه القناة هي التي قدمت نسبة ملحوظة من العقد.
استنتاج
قصة DoFun مثيرة للاهتمام ليس بعدد السيارات المصابة - لم يذكر أحد عددها حتى الآن، ومن المحتمل أن يكون صغيرًا. ما يثير الاهتمام هو السابقة: لم يعد من الضروري التفاوض مع الشركة المصنعة للجهاز لتجميع مجموعة سكنية. يكفي اختطاف محدثها. وهذا يعني أن القطاع السفلي من سوق البروكسي سيستمر في امتلاء العقد التي لا يعرف مالك الجهاز أو بائعها بوجودها - مع جميع العواقب لأولئك الذين يعملون من خلالها. الفرق بين غيغابايت رخيص وقابل للتنبؤ هو بالضبط في هذا.