Atac cibernetic asupra sistemelor multimedia ale mașinilor. Malware-ul se poate instala prin actualizări și funcționează fără să fie observat

Un nou tip de malware Android a fost identificat în sistemele multimedia ale autovehiculelor, atacatorii reușind să exploateze inclusiv mecanismele folosite pentru actualizarea software-ului. Amenințarea poate funcționa în fundal fără ca șoferul să observe și poate afișa reclame nedorite, desfășura fraude publicitare, descărca alte componente malițioase și colecta informații despre dispozitiv. Campania a fost identificată în iunie 2026 și reprezintă, potrivit cercetătorilor Kaspersky, primul caz documentat în care sistemul Head Unit al unui automobil este infectat printr-un lanț conceput special pentru această categorie de echipamente.

Sistemele multimedia ale mașinilor, vizate de un nou tip de malware

Atacurile informatice nu mai vizează doar telefoanele, calculatoarele sau televizoarele inteligente. Sistemele multimedia instalate în automobile au intrat, la rândul lor, în atenția atacatorilor.

Cercetătorii Kaspersky au identificat o campanie care țintește sistemele Head Unit ale autovehiculelor. Acestea integrează funcții multimedia și, în anumite situații, inclusiv funcții de control ale mașinii.

Campania folosește un downloader discret, desfășurat în mai multe etape, scopul fiind instalarea unor componente malware capabile să desfășoare ulterior diferite activități malițioase. Cercetătorii consideră că activitatea ar putea avea legături cu gruparea MoYu, asociată botnetului BadBox.

De ce sistemele Android din automobile pot deveni o țintă

Sistemele Head Unit pot fi montate direct din fabrică, dar există și echipamente instalate ulterior pe automobile mai vechi.

O parte dintre producători utilizează Android, ceea ce permite personalizarea interfețelor și integrarea diferitelor funcții. Acest lucru înseamnă însă că aplicațiile Android obișnuite, dar și programele malware dezvoltate pentru acest sistem de operare, pot rula pe asemenea dispozitive.

Chiar dacă sistemele multimedia ale mașinilor stochează rareori informații personale sensibile, ele pot avea sloturi pentru cartele SIM și conexiune permanentă la internet, necesară pentru navigație sau actualizări software. Tocmai aceste caracteristici le pot transforma în ținte pentru atacatori.

Malware-ul a ajuns la mașini prin mecanismul de actualizare

Unul dintre cele mai importante elemente ale campaniei îl reprezintă metoda de infectare.

Potrivit analizei, malware-ul a fost distribuit prin mecanismele de actualizare integrate în firmware-ul mai multor modele de sisteme Head Unit bazate pe Android și produse de DoFun. Kaspersky a notificat furnizorul cu privire la folosirea abuzivă a mecanismului de distribuție software, iar DoFun a transmis că problema a fost remediată.

Lanțul de infectare pornea de la TWCore, o aplicație de sistem legitimă care avea inițial rolul de a colecta date analitice și de a actualiza software-ul sistemului multimedia.

Aplicația primea de la serverul producătorului instrucțiuni referitoare la programele care trebuiau instalate sau actualizate. Atacatorii au exploatat acest canal pentru a distribui către sistemele vizate un malware necunoscut anterior, prin intermediul unui dropper denumit JarService.

Programul malițios funcționa în fundal fără să fie observat

Procesul de infectare a fost conceput în mai multe etape, inclusiv pentru a îngreuna detectarea amenințării.

Malware-ul era instalat sub forma unei aplicații obișnuite, însă nu dispunea de o interfață vizibilă. Astfel, programul putea continua să funcționeze în fundal fără ca utilizatorul sistemului multimedia să observe activitatea sa.

Cercetătorii au identificat nouă comenzi diferite implementate de atacatori. Prin intermediul acestora puteau fi afișate reclame nedorite, realizate fraude publicitare și descărcate module malițioase suplimentare.

În același timp, atacatorii puteau primi informații despre dispozitivul compromis, printre care rezoluția ecranului, modelul acestuia, identificatorul rețelei Wi-Fi la care era conectat și adresa MAC.

Cercetătorii au găsit legături cu gruparea MoYu și botnetul BadBox

Analiza tehnică a scos la iveală și posibile conexiuni cu alte campanii informatice.

Kaspersky susține că a identificat legături între atac și gruparea MoYu, afiliată botnetului BadBox. Concluzia a rezultat inclusiv din comparația cu atacuri precedente care au vizat set-top box-uri TV.

Au fost observate, de asemenea, elemente comune între panoul de administrare al botnetului și site-urile unor servicii de proxy rezidențial.

BadBox este descris ca o rețea extinsă de dispozitive Android compromise. Printre acestea se numără box-uri pentru streaming TV, telefoane și tablete care pot fi livrate cu malware preinstalat.

Backdoor-urile ascunse pot fi utilizate pentru fraude publicitare, furt de date sau pentru transformarea rețelelor utilizatorilor în relee neautorizate pentru trafic de tip proxy.

Atacurile cibernetice se extind către dispozitivele conectate din automobile

Descoperirea arată că echipamentele conectate la internet din interiorul automobilelor pot deveni o nouă suprafață de atac. În acest caz, vulnerabilitatea nu a presupus doar instalarea de către utilizator a unei aplicații suspecte, ci exploatarea unui mecanism destinat chiar distribuirii actualizărilor software.

Campania este cu atât mai relevantă cu cât sistemele Head Unit pot avea acces permanent la internet și rulează frecvent Android, ceea ce permite ca programe malware concepute pentru această platformă să funcționeze și pe echipamentele multimedia auto.

În cazul analizat, furnizorul sistemelor afectate a fost informat despre problema privind mecanismul de distribuție a software-ului și a transmis că aceasta a fost remediată.