Na Android systémy v autách útočí nový typ vírusu. Nainštaluje sa bez zásahu vodiča
Kaspersky objavil malvér, ktorý sa cez aktualizačný systém dostal do Android infotainmentu áut a zapájal zariadenia do proxy botnetu.
Multimediálny systém v aute väčšina vodičov nevníma ako zariadenie, o ktorého bezpečnosť sa treba zvlášť starať. Výskumníci z Kaspersky však v júni 2026 objavili malvér, ktorý sa do Android head unitov dostával cez legitímny aktualizačný mechanizmus. Podľa Kaspersky ide o prvý zdokumentovaný prípad, pri ktorom bol celý postup útoku pripravený priamo pre tento typ automobilového zariadenia.
Head unit je centrálna multimediálna jednotka auta. Zastrešuje napríklad prehrávanie hudby, navigáciu či displej a v niektorých vozidlách môže byť prepojená aj s vybranými funkciami auta. Môže byť namontovaná už z výroby alebo doplnená neskôr. Kaspersky však v tejto kampani neopísal prevzatie riadenia, bŕzd ani motora. Útočníci chceli zariadenia využívať na reklamné podvody a zapojiť ich do proxy botnetu, cez ktorý sa dá presmerovať cudzia internetová prevádzka.
Takéto Android jednotky bývajú pripojené na internet a niektoré majú aj vlastný SIM slot. Pre útočníkov sú preto podobným cieľom ako smart TV boxy či iné IoT zariadenia. Sú dlho online a majiteľ väčšinou vôbec netuší, aká komunikácia na nich prebieha na pozadí.
Útočníci zneužili aktualizačný systém, ktorému zariadenie dôverovalo
Malvér sa objavil vo viacerých modeloch Android head unitov využívajúcich platformu DoFun. V systéme mali legitímnu aplikáciu TWCore, ktorá zbierala analytické dáta a zabezpečovala aktualizácie softvéru. MQTT broker na subdoméne cardoor[.]cn jej posielal informácie o tom, ktoré APK súbory má zariadenie stiahnuť a nainštalovať.
Problém sa skrýval v možnosti označenej installNotExists. Keď mala hodnotu true, TWCore mohol nainštalovať aj aplikáciu, ktorá v zariadení dovtedy vôbec nebola. Telemetria Kaspersky ukázala, že vo všetkých pozorovaných prípadoch škodlivý softvér nainštalovala aplikácia s balíkom com.tw.core, teda práve TWCore. Touto cestou sa do systému dostal dropper JarService.
Neprehliadni
JarService nemal ikonu ani používateľské rozhranie, takže si ho vodič prakticky nemal ako všimnúť. Bežal na pozadí a pripravoval ďalší škodlivý kód ukrytý vo vlastných dátach. Výskumníci zistili, že jednotlivé bloky boli chránené jednoduchým XOR šifrovaním s meniacim sa jednobajtovým kľúčom.
JarService bol len prvý krok. Ďalší kód prišiel zo servera útočníkov
JarService bol iba prvým krokom. Následne sa spustil zavádzač druhej fázy, ktorý sa spojil s riadiacim C2 serverom útočníkov a vyžiadal si ďalší škodlivý kód. Server mu poslal adresu, z ktorej si stiahol tretiu časť malvéru. V jednom z analyzovaných prípadov mal sťahovaný súbor príponu .png, no obsahoval kód určený na spustenie v zariadení.
Výskumníci si všimli, že URL obsahuje číslo verzie, a skúsili ho meniť. Takto získali sedem rôznych variantov payloadu. Najstaršia verzia 3.57 používala iný spôsob dekódovania než novšie varianty. Kaspersky preto pripúšťa, že staršia verzia útoku mohla v druhej fáze používať iný zavádzač.
Tretia fáza už komunikovala so servermi útočníkov pravidelne. Približne každých 90 minút odosielala údaje o zariadení, napríklad rozlíšenie displeja, model, identifikátor Wi-Fi siete či MAC adresu. V kóde našli výskumníci deväť príkazov, ktoré umožňovali napríklad posielať HTTP požiadavky, pracovať s webovým obsahom, zobrazovať reklamy alebo stiahnuť a spustiť ďalší kód.
V reálnych útokoch sa podľa Kaspersky používali najmä príkazy http a loadlib2. Druhý z nich sťahoval modul zhima, ktorý fungoval ako reverse proxy. Cez infikovanú multimediálnu jednotku tak mohla prechádzať internetová prevádzka niekoho iného a smerom von používala pripojenie napadnutého zariadenia. Podobné zneužívanie Android TV boxov na proxy prevádzku sme videli aj pri iných kampaniach.
Rovnaký modul zhima nezávisle objavili aj výskumníci Nokia Deepfield Emergency Response Team v televíznych set-top boxoch. Aj to podporuje záver Kaspersky, že útočníkom nešlo iba o reklamné podvody. Infikované zariadenia chceli využívať aj ako súčasť proxy botnetu.
Zhoda v kóde a serveroch ukazuje na MoYu Group
Kaspersky pripisuje kampaň s vysokou mierou istoty skupine MoYu Group, ktorá je spojená s ekosystémom BADBOX. V kóde druhej fázy našli výskumníci vlákno pomenované mosdk-host-loader. Pri analýze škodlivej aplikácie z TV set-top boxov zase narazili na službu s názvom AdmoyuService. Výrazne sa zhodovala aj použitá sieťová infraštruktúra s tou, ktorú výskumníci už skôr spájali s MoYu Group.
Technická analýza kampane od Kaspersky odhalila ďalšie spojenia. Administrátorský panel modulu zhima odkazoval na dokumenty hostované na doméne služby PXYEDGE a nachádzal sa v ňom aj odkaz na ProxyForU. Podobné boli tiež prihlasovacie a registračné stránky. Kaspersky sa na základe týchto stôp domnieva, že služby sú prepojené s MoYu Group.
BADBOX pritom nie je nový problém. Útočníci už v minulosti zneužívali lacné Android zariadenia vrátane TV boxov a tabletov, pričom niektoré sa k zákazníkom dostávali už s predinštalovanými zadnými vrátkami. Malvér BadBox 2.0 v lacných Android zariadeniach dokázal tieto zariadenia potichu zapájať do botnetu.
Bezpečnostný výskumník Kaspersky Dmitry Kalinin upozornil, že aktéri spojení s BADBOX pokračujú v činnosti aj napriek zásahom bezpečnostných expertov a polície. Mení sa pritom spôsob, akým malvér doručujú. Niekedy využijú zadné vrátka priamo vo firmvéri, inokedy napadnutú IPTV aplikáciu. Tentoraz zneužili aktualizačnú funkciu legitímnej systémovej aplikácie.
Vodič nemusel na nič kliknúť. Malvér prišiel cez updater
DoFun po upozornení od Kaspersky oznámil, že problém opravil. Kaspersky však nezverejnil presný počet infikovaných zariadení ani kompletný zoznam dotknutých modelov. Ak máš v aute Android head unit využívajúci softvér DoFun, oplatí sa preto overiť u výrobcu alebo predajcu, či máš nainštalovanú najnovšiu dostupnú verziu softvéru.
Majiteľ pritom nemusel kliknúť na žiadny podozrivý odkaz ani ručne inštalovať APK z neznámeho zdroja. Škodlivá aplikácia prišla cez aktualizačný mechanizmus, ktorému systém bežne dôveroval. Kaspersky tieto hrozby deteguje pod názvami HEUR:Trojan-Dropper.AndroidOS.Agent.vu, HEUR:Trojan-Downloader.AndroidOS.Agent.ov, HEUR:Trojan-Proxy.AndroidOS.Zhima.* a HEUR:Trojan.AndroidOS.Vo1d.*.
Infotainment s Androidom pritom nie je len obrazovka na hudbu a navigáciu. Je to počítač s vlastným softvérom a internetovým pripojením, ktorý môže zostať v aute celé roky.
