Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Hackers infect Android car head units with proxy botnet malware

1 minute de lecture

Mis à jour :

Infiltration des systèmes d’infodivertissement Android par le groupe MoYu

Une attaque par chaîne d’approvisionnement cible les systèmes multimédias (head units) Android du fournisseur chinois DoFun. Le groupe cybercriminel MoYu, déjà associé au botnet « BadBox », utilise une application de mise à jour légitime pour déployer un malware nommé JarService. Ce logiciel malveillant transforme les véhicules connectés en nœuds de botnet par procuration (proxy) et en outils de fraude publicitaire.

Points clés :

  • Vecteur d’infection : L’application système légitime « TWCore » télécharge silencieusement un fichier APK malveillant.
  • Fonctionnement : Le malware JarService exécute un chargeur de seconde étape qui communique avec un serveur de commande et de contrôle (C2).
  • Objectifs : Utiliser les ressources des véhicules pour le trafic proxy résidentiel et la fraude au clic.
  • Impact : Bien que les fonctions critiques de conduite ne soient pas altérées, l’appareil exécute des commandes arbitraires, interagit avec des sites web via WebView et exécute du JavaScript malveillant.

Vulnérabilités :

  • Aucune CVE n’est associée à cette campagne spécifique, l’attaque reposant sur l’exploitation d’une application système légitime compromise (Supply-Chain Attack).

Capacités du malware :

  • Exécution de requêtes HTTP/HTTPS.
  • Injection de JavaScript via WebView.
  • Téléchargement et exécution de modules arbitraires.
  • Outils réseau (ping/traceroute).
  • Gestion du presse-papier et accès aux données de configuration (SharedPreferences).

Recommandations :

  • Pour les utilisateurs : Si le véhicule utilise un système Android de marque DoFun, vérifier la disponibilité d’une mise à jour logicielle officielle auprès du fournisseur ou du constructeur, suite à la notification envoyée par Kaspersky.
  • Pour les constructeurs : Renforcer les contrôles de sécurité sur les applications préinstallées (firmware) et surveiller les communications sortantes vers les serveurs MQTT tiers suspects.

Source

Vous pourriez aimer