Kaspersky виявила першу шкідливу програму для Android-мультимедіа авто
Kaspersky задокументувала перший ланцюг зараження, створений для Android-мультимедіа автомобілів: штатний оновлювач DoFun потай встановлював завантажувач і перетворював пристрої на вузли ботнету.
Перший задокументований випадок зараження авто-мультимедіа
Команда Securelist від Kaspersky повідомляє: під час моніторингу Android-загроз у червні 2026 року вона виявила нову шкідливу програму. Вона встановлюється як звичайний застосунок, але не має жодного інтерфейсу — ознака того, що потрапляє на пристрій без відома власника. Розслідування відтворило весь ланцюг: багатоступеневий завантажувач, мета якого — рекламне шахрайство та створення проксі-ботнету.
Особливість — у способі поширення: шкідлива програма поширювалася через штатний механізм оновлення мультимедійних пристроїв DoFun на базі Android. Kaspersky називає це першим задокументованим випадком шкідливої програми на автомобільному головному пристрої з ланцюгом зараження, характерним саме для цього класу техніки.
Як це працювало і хто за цим стоїть
Легітимний системний застосунок TWCore (com.tw.core) оновлює мультимедіа, завантажуючи APK-файли з MQTT-брокера на cardoor[.]cn. Прапорець "installNotExists" дозволяв йому встановлювати застосунки, яких на пристрої спочатку не було, і телеметрія показує, що шкідливий код надходив саме так — починаючи з завантажувача JarService. Kaspersky з високою впевненістю пов'язує цю активність із MoYu Group — угрупованням, пов'язаним із ботнетом BADBOX, — і зазначає, що виробника повідомили, і він звітував про виправлення проблем.
Висновок для водіїв простий: оновлюйте прошивку та офіційне програмне забезпечення, а постійно підключену електроніку авто вважайте частиною поверхні атаки.