Kibervédelmi kutatók egy új kártevőcsaládra figyelmeztetnek, amelyet kifejezetten a DoFun által fejlesztett, Android-alapú autós fejegységek firmware-ének megfertőzésére terveztek.

A fenyegetést 2026 júniusában azonosító Kaspersky szerint a kártevő végső célja egy többlépcsős letöltő terjesztése, amely reklámcsalást tesz lehetővé, és proxy botnetet épít.

„A kártevő az Android-alapú autós fejegységek firmware-ébe épített frissítőn keresztül terjedt” – mondta Dmitry Kalinin biztonsági kutató. „Ez az első dokumentált eset, amikor autós fejegységen találtunk kártevőt, amelynek fertőzési lánca kifejezetten erre az eszköztípusra épül.”

A tevékenységet nagy bizonyossággal a MoYu Group-hoz kötik, amelyet a HUMAN Satori Threat Intelligence and Research csapata leplezett le tavaly, egy BADBOX néven ismert, kiterjedt reklámcsalási és lakossági proxy-hálózat részeként. 2025 júliusában a Google pert indított 25, név szerint nem említett kínai személy vagy szervezet ellen, mert állítólag ők működtették a BADBOX botnetet és annak infrastruktúráját.

Az autós fejegység egy központi egység, amely a multimédiás funkciókat bizonyos járműfunkciók részleges vezérlésével kombinálja. Lehet gyárilag beépített, de utólagos verziófrissítésként régebbi autókba is beszerelhető. Mivel az Android-alapú autós fejegységek nagyon elterjedtek mind az utólag beépített, mind a gyárilag szerelt rendszerek között, a szokásos alkalmazások jelentős része – és velük együtt a kártevők is – futtathatók rajtuk.

Ezért egyre vonzóbb célponttá válnak a támadók számára, hiszen SIM-kártya foglalattal rendelkeznek, ami lehetővé teszi az internetelérést a navigációhoz és a szoftverfrissítésekhez.

„Az ilyen kártevők terjesztési módszerei egyre változatosabbak – a gyárilag előre telepített hátsó kapuktól a feltört IPTV-alkalmazásokig terjednek” – mondta Kalinin a The Hacker Newsnak küldött közleményében. „Ebben a vizsgált esetben még kifinomultabb terjesztési módszert figyeltünk meg, amely egy rendszeralkalmazás legitim szoftverfrissítési funkcióját használta ki.”

Konkrétan arról van szó, hogy a kártevőt a DoFun által gyártott, többféle Android-alapú fejegység firmware-ébe épített frissítési mechanizmuson keresztül terjesztették. A felelős bejelentést követően a szoftverterjesztés visszaélését lehetővé tevő problémát orvosolták.

A kiindulópont egy TWCore nevű, legitim rendszeralkalmazás („com.tw.core”). Elemzési adatokat gyűjt, és MQTT message broker segítségével frissíti a fejegység szoftverét APK fájlok formájában, a „cardoor[.]cn” aldomainen keresztül. Az APK fájl a „<TWCore external cache dir>/push/apk/” útvonalra kerül letöltésre, ahonnan telepítik.

A kampány mögött álló támadók ezt a frissítési csatornát fegyverré tették, és a JarService nevű dropperrel közvetlenül a fejegységekre juttattak el korábban ismeretlen kártevőt, miközben igyekeztek elkerülni a felderítést. A dropper feladata egy loader elindítása, amely a következő lépéseket hajtja végre:

• Implantátum-információkat küld az egyik támadói szerverre HTTP POST kéréssel
• A szerver válaszként egy linket ad a következő lépcsőben letöltendő payloadhoz („144.217.243[.]201/vr34der34/dex3.68.png”)

A payload neve egy verziószámra („dex3.68”) utal, ami alapján a Kaspersky egyszerűen más verziószámokat kipróbálva hét különböző változatot tudott azonosítani, egészen a „3.57” verzióig visszamenőleg.

A támadási lánc végén a kártevő egy hagyományos felhasználói alkalmazásként települ. Felülete nincs, a háttérben, rejtve fut. Alapértelmezés szerint 90 percenként POST kérést küld a command-and-control (C2) végpontra („/cpc/api/task”), azzal együtt, hogy milyen eszközt fertőzött meg, és milyen konfigurációverziót használ.

„Ha a konfiguráció elavult, a C2 szerver frissített konfigurációt küld vissza, benne új C2 címekkel és új HTTP-kérelem útvonalakkal” – közölte a Kaspersky. „Ha a konfiguráció verzióját nem kell frissíteni, a C2 szerver ehelyett egész számként megadott parancsazonosítókat küld vissza, amelyeket a támadók productId-ként emlegetnek.”

„A trójai minden azonosítót egy parancsleíráshoz rendel, és ezt a SharedPreferences API segítségével sorosított JSON objektumként tárolja.”

A kártevő kilenc parancsot támogat, amelyekkel kéretlen reklámokat jeleníthet meg, reklámcsalást hajthat végre, illetve további kártékony modulokat tölthet le. Emellett lehetővé teszi, hogy a támadók részletes információkat szerezzenek az eszközről, például a kijelző felbontását, az eszköz modelljét, a csatlakoztatott Wi-Fi hálózat azonosítóját és a MAC-címet. A parancsok listája:

• return – érték visszaadása a SharedPreferences tárolóból
• copy – a vágólap tartalmának beállítása
• http – POST/GET HTTP kérés küldése egy megadott erőforrásra
• web – link megnyitása WebView-ban és tetszőleges JavaScript kód futtatása benne
• loadlib (nincs teljesen megvalósítva)
• loadlib2 – tetszőleges kód letöltése és futtatása egy URL-ről
• loadlib3 (nincs teljesen megvalósítva)
• deeplink – URL megnyitása a böngészőben
• traceroute – erőforrás elérhetőségének ellenőrzése ICMP ping segítségével

A támadók a „loadlib2” és „http” parancsokat használják a „zhima” nevű reverse proxy modul letöltésére. Ezt a modult a Nokia Deepfield Emergency Response Team dokumentálta a múlt hónapban, és célzottan IPTV alkalmazásokon keresztül terjesztették olcsó Android TV boxokra telepítve.

„A kibervédelmi szakértők és a bűnüldöző szervek erőfeszítései ellenére, amelyek a BADBOX botnet leállítására irányulnak, az ahhoz köthető egyes szereplők továbbra is folytatják kártékony tevékenységüket, és világszerte fertőznek eszközöket” – mondta Kalinin.

„Ez a kártevő az első olyan rosszindulatú alkalmazás, amely kifejezetten az autós fejegységeket veszi célba, és a fertőzési láncot is kifejezetten ezekre a járműrendszerekre szabták. Figyelmeztetésként szolgál, hogy a modern autós platformoknak sürgősen erős védelmet kell kapniuk a kártevők ellen.”