Android Car Malware Spreads Through Built-In Updaters for Ad Fraud, Proxy Botnet
Mis à jour :
Piratage des systèmes multimédias automobiles : Le réseau MoYu frappe les unités DoFun
Des chercheurs de Kaspersky ont identifié une nouvelle campagne de logiciels malveillants ciblant spécifiquement les unités multimédias (head units) Android fabriquées par DoFun. Attribuée au groupe MoYu (connu pour le botnet BADBOX), cette menace transforme les systèmes de navigation des véhicules en nœuds d’un botnet proxy tout en générant de la fraude publicitaire.
Points clés :
- Vecteur d’attaque : Le malware détourne le mécanisme de mise à jour légitime intégré au firmware des unités DoFun via l’application système
TWCore. - Chaîne d’infection : L’unité télécharge un dropper nommé
JarService, qui récupère ensuite une charge utile (loader) permettant l’exécution de commandes malveillantes en arrière-plan sans interface utilisateur. - Persistance : Le malware communique avec un serveur de commande et de contrôle (C2) toutes les 90 minutes pour recevoir des instructions ou mettre à jour sa configuration.
- Capacités : Le Trojan peut manipuler le presse-papier, injecter du JavaScript via WebView, télécharger des modules arbitraires, réaliser des requêtes HTTP pour la fraude publicitaire et transformer l’unité en proxy résidentiel (module “zhima”).
Vulnérabilités :
- Aucune CVE spécifique n’est mentionnée, car l’attaque repose sur l’abus de fonctionnalités légitimes de mise à jour logicielle et l’absence de vérification sécurisée des fichiers téléchargés par l’application
TWCore.
Recommandations :
- Correction logicielle : Le fabricant DoFun a publié une mise à jour corrective après la divulgation responsable de la faille ; les propriétaires doivent s’assurer que leur système est à jour.
- Sécurisation : Les fabricants de systèmes automobiles Android doivent impérativement implémenter une validation rigoureuse des signatures numériques pour toutes les mises à jour OTA (Over-the-Air) afin d’empêcher l’installation de code non authentifié.
- Veille : Pour les utilisateurs, limiter les connexions aux réseaux Wi-Fi inconnus et privilégier les mises à jour provenant exclusivement des sites officiels des constructeurs.