System multimedialny samochodu może stać się celem złośliwego oprogramowania podobnie jak smartfon czy komputer. Eksperci Kaspersky wykryli pierwszą udokumentowaną wieloetapową kampanię tego typu wymierzoną konkretnie w samochodowe urządzenia multimedialne działające pod kontrolą Androida.

Atak rozpoczął się od legalnego mechanizmu aktualizacji

Kaspersky wykrył kampanię w czerwcu 2026 roku. Złośliwe oprogramowanie trafiało do różnych modeli samochodowych jednostek głównych korzystających z Androida i oprogramowania firmy DoFun. Do infekcji wykorzystywano mechanizmy aktualizacyjne wbudowane w oprogramowanie urządzeń.

Kluczową rolę odgrywała aplikacja systemowa TWCore, której normalnym zadaniem jest zbieranie danych analitycznych i obsługa aktualizacji. Program otrzymuje z serwera producenta instrukcje dotyczące instalowania i aktualizowania aplikacji. Napastnicy wykorzystali ten mechanizm do dostarczenia złośliwego oprogramowania za pośrednictwem programu ładującego JarService.

Według badaczy proces infekcji został skonstruowany jako złożony, wieloetapowy łańcuch, którego jednym z celów było utrudnienie wykrycia ataku. Kaspersky określa tę kampanię jako pierwszy udokumentowany przypadek zastosowania takiej techniki specjalnie przeciwko samochodowym jednostkom głównym.

Złośliwa aplikacja działała bez interfejsu

Po zainstalowaniu szkodliwy program zachowywał się jak zwykła aplikacja, ale nie wyświetlał żadnego interfejsu użytkownika. Działał w tle, dzięki czemu właściciel samochodu mógł nie zauważyć jego obecności. Eksperci znaleźli w nim dziewięć różnych poleceń wykorzystywanych przez atakujących.

Pozwalały one między innymi prowadzić oszustwa reklamowe, wyświetlać niepożądane reklamy oraz pobierać kolejne szkodliwe moduły. Program gromadził również dane techniczne urządzenia, takie jak rozdzielczość ekranu, model sprzętu, identyfikator podłączonej sieci Wi-Fi oraz adres MAC.

Dlaczego samochodowe systemy z Androidem są atrakcyjnym celem?

Android Auto jest stosowane w samochodowych jednostkach multimedialnych między innymi dlatego, że umożliwia producentom dostosowywanie interfejsu, instalowanie komponentów systemowych i korzystanie z aplikacji. Jednocześnie oznacza to, że takie urządzenia mogą być podatne na część zagrożeń znanych z innych urządzeń wykorzystujących ten system operacyjny.

fot. MotoGuru.pl

Same jednostki główne nie muszą przechowywać dużej ilości poufnych informacji. Często mają jednak stałe połączenie z internetem, wykorzystywane na przykład do nawigacji i aktualizacji, a niektóre wyposażone są także w gniazda kart SIM. To tworzy dodatkową powierzchnię potencjalnego ataku.

Badacze wskazują na grupę MoYu i botnet BadBox

Zdaniem Kaspersky’ego za kampanią może stać grupa MoYu powiązana z botnetem BadBox. Badacze wskazują między innymi na podobieństwa do wcześniejszych ataków na przystawki telewizyjne oraz ślady znalezione w panelu administracyjnym jednego z modułów szkodliwego oprogramowania.

BadBox jest siecią zainfekowanych urządzeń z Androidem, obejmującą między innymi przystawki telewizyjne, smartfony i tablety. Według Kaspersky’ego urządzenia wykorzystywane w tej sieci mogą mieć fabrycznie zainstalowane tylne furtki, a następnie służyć do oszustw reklamowych, wykradania danych lub przekazywania ruchu internetowego przez sieci użytkowników.

Ekspert w firmie Kaspersky, Dmitrij Kalinin, zwraca uwagę na zmieniające się sposoby infekowania urządzeń:

Botnet BadBox nadal stanowi zagrożenie dla urządzeń z Androidem na całym świecie. Jednocześnie sposoby rozpowszechniania złośliwego oprogramowania stają się coraz bardziej zróżnicowane – od fabrycznie zainstalowanych tylnych furtek po przejęte aplikacje IPTV. W tej kampanii zaobserwowaliśmy jeszcze bardziej wyrafinowaną metodę dostarczania: z wykorzystaniem legalnej aplikacji systemowej służącej do aktualizacji oprogramowania. Ponadto cyberprzestępcy aktywnie opanowują nowe platformy. W tej kampanii wykorzystano złożony łańcuch infekcji wymierzony właśnie w samochodowe jednostki główne, z którym spotkaliśmy się po raz pierwszy. Pokazuje to, że nowoczesne systemy samochodowe również potrzebują niezawodnej ochrony przed złośliwym oprogramowaniem.

DoFun został powiadomiony. Problem ma być usunięty

Kaspersky przekazał informacje o wykrytym problemie firmie DoFun. Zgodnie z informacjami przekazanymi przez dostawcę usterka została już usunięta z jego oprogramowania.

Przypadek pokazuje jednak, że rozwój połączonych z internetem systemów samochodowych rozszerza również zakres zainteresowania cyberprzestępców. Ekran multimedialny dawno przestał być wyłącznie radiem z dużym wyświetlaczem – coraz częściej jest pełnoprawnym komputerem, który podobnie jak inne urządzenia sieciowe może stać się celem ataku.