Поворот не туда: злоумышленники атаковали мультимедийные системы автомобилей
Изображение: grok
Эксперты «Лаборатории Касперского» в июне 2026 года обнаружили новую вредоносную кампанию, нацеленную на головные устройства автомобилей (Head Unit), которые могут совмещать в себе мультимедийные системы и обладать функциями контроля транспортного средства. Злоумышленники использовали вредоносное ПО для Android, позволяющее осуществлять мошенничество с рекламой и другие нелегитимные действия. Данная кампания — первый задокументированный случай применения многоэтапной цепочки заражения, нацеленной конкретно на головные устройства автомобилей. Предположительно, за атаками стоит группа MoYu, связанная с ботнетом BadBox.
Цели атак. Производители головных устройств часто используют операционную систему Android, поскольку она позволяет удобно настраивать интерфейсы и добавлять важные системные компоненты, устанавливать различные пользовательские приложения. На подобных автомобильных системах работает большинство стандартных Android-приложений, но вместе с тем они уязвимы для вредоносных программ. Хотя головные устройства редко хранят конфиденциальные данные, у них обычно есть слоты для SIM-карт, а также постоянный доступ к интернету для навигации и обновления программ — что делает их потенциальным вектором атаки.
Как происходит заражение. Вредоносное ПО распространялось через механизмы обновления, встроенные в прошивку разных моделей головных устройств на Android, работающих на базе программного обеспечения от DoFun. «Лаборатория Касперского» уведомила вендора о наличии недостатка и, по данным DoFun, проблема уже устранена.
В начале цепочки заражения эксплуатируется легитимное системное приложение TWCore — оно отвечает за сбор аналитики и обновление программного обеспечения головного устройства. TWCore получает с сервера производителя инструкции о том, какие приложения необходимо установить или обновить. Злоумышленники воспользовались этим для доставки вредоносного ПО непосредственно на головные устройства, применив загрузчик JarService. Сам процесс заражения сложный и многоэтапный — и направлен на то, чтобы избежать обнаружения.
Что может зловред. Вредоносное ПО устанавливалось на головное устройство как обычное приложение — но без пользовательского интерфейса, и работало незаметно в фоновом режиме. Эксперты «Лаборатории Касперского» обнаружили, что злоумышленники внедрили девять различных команд, позволяющих осуществлять мошенничество с рекламой и отображать нежелательные объявления, а также загружать дополнительные вредоносные модули. Кроме того, атакующие собирали информацию об устройстве, включая разрешение экрана, модель устройства, идентификатор подключённой сети Wi-Fi и MAC-адрес.
Связь с группой MoYu. За данной кампанией может стоять группа MoYu, связанная с ботнетом BadBox, — на это указывает анализ предыдущих атак на ТВ-приставки. Кроме того, панель администрирования одного из модулей зловреда содержит артефакты — например, встроенные URL-адреса в код веб-страниц с сайтами резидентных прокси-сервисов PXYEDGE и ProxyForU. Ботнет BadBox — это масштабная сеть заражённых Android-устройств (ТВ-приставок, смартфонов и планшетов), которые выходят с производства с уже предустановленными бэкдорами. Злоумышленники используют их для мошенничества с рекламой и кражи конфиденциальных данных, а также превращают домашние сети в прокси-сервер для передачи трафика.
«Ботнет BadBox всё ещё представляет угрозу для Android-устройств по всему миру. При этом способы распространения вредоносного ПО становятся всё более разнообразными — от предустановленных бэкдоров до скомпрометированных IPTV-приложений. В данной кампании мы наблюдали ещё более изощрённый метод доставки: с использованием легитимного системного приложения для обновления ПО. Кроме того, злоумышленники активно осваивают новые платформы. В данной кампании использовалась сложная цепочка заражения, нацеленная именно на автомобильные головные устройства, которая встретилась нам впервые. Это говорит о том, что современным автомобильным системам также необходима надёжная защита от вредоносных программ», — комментирует Дмитрий Калинин, эксперт по кибербезопасности «Лаборатории Касперского».
Подробный отчёт о новой кампании доступен на сайте Securelist.
