Эксперты «Лаборатории Касперского» в июне 2026 года обнаружили новый тип кибератак, нацеленных на головные устройства автомобилей (Head Unit), которые могут совмещать в себе мультимедийные системы и обладать функциями контроля транспортного средства. Злоумышленники использовали вредоносное ПО для Android, позволяющее осуществлять мошенничество с рекламой и другие нелегитимные действия. Данная атака — первый задокументированный случай применения многоэтапной цепочки заражения, нацеленной конкретно на головные устройства автомобилей. Предположительно, за ними стоит группа MoYu злоумышленников, связанная с международным ботнетом BadBox на базе операционной системы Android — сети устройств, зараженных вредоносными программами для скрытого рекламного мошенничества и кражи данных.
Цели атак. Производители головных устройств часто используют операционную систему Android, поскольку она позволяет удобно настраивать интерфейсы и добавлять важные системные компоненты, устанавливать различные пользовательские приложения. На подобных автомобильных системах работает большинство стандартных Android-приложений, но вместе с тем они уязвимы для вредоносных программ. Хотя головные устройства редко хранят конфиденциальные данные, у них обычно есть слоты для SIM-карт, а также постоянный доступ к интернету для навигации и обновления программ — что делает их потенциальным вектором атаки.
Как происходит заражение. Вредоносное ПО распространялось через механизмы обновления, встроенные в прошивку разных моделей головных устройств на Android, работающих на базе программного обеспечения от DoFun. «Лаборатория Касперского» уведомила вендора о наличии недостатка и, по данным DoFun, проблема уже устранена.
В начале цепочки заражения эксплуатируется легитимное системное приложение TWCore — оно отвечает за сбор аналитики и обновление программного обеспечения головного устройства. TWCore получает с сервера производителя инструкции о том, какие приложения необходимо установить или обновить. Злоумышленники воспользовались этим для доставки вредоносного ПО непосредственно на головные устройства, применив загрузчик JarService. Сам процесс заражения сложный и многоэтапный — и направлен на то, чтобы избежать обнаружения.
Что может зловред. Вредоносное ПО устанавливалось на головное устройство как обычное приложение — но без пользовательского интерфейса, и работало незаметно в фоновом режиме. Эксперты «Лаборатории Касперского» обнаружили, что злоумышленники внедрили девять различных команд, позволяющих осуществлять мошенничество с рекламой и отображать нежелательные объявления, а также загружать дополнительные вредоносные модули. Кроме того, атакующие собирали информацию об устройстве, включая разрешение экрана, модель устройства, идентификатор подключённой сети Wi-Fi и MAC-адрес.
Связь с группой MoYu. За данными атаками может стоять группа MoYu, связанная с ботнетом BadBox, — на это указывает анализ предыдущих атак на ТВ-приставки. Кроме того, панель администрирования одного из модулей зловреда содержит артефакты — например, встроенные URL-адреса в код веб-страниц с сайтами резидентных прокси-сервисов PXYEDGE и ProxyForU. Ботнет BadBox — это масштабная сеть заражённых Android-устройств (ТВ-приставок, смартфонов и планшетов), которые выходят с производства с уже предустановленными бэкдорами. Злоумышленники используют их для мошенничества с рекламой и кражи конфиденциальных данных, а также превращают домашние сети в прокси-сервер для передачи трафика.
«Ботнет BadBox всё ещё представляет угрозу для Android-устройств по всему миру. При этом способы распространения вредоносного ПО становятся всё более разнообразными — от предустановленных бэкдоров до скомпрометированных IPTV-приложений. В данной кампании мы наблюдали ещё более изощрённый метод доставки: с использованием легитимного системного приложения для обновления ПО. Кроме того, злоумышленники активно осваивают новые платформы. В данной кампании использовалась сложная цепочка заражения, нацеленная именно на автомобильные головные устройства, которая встретилась нам впервые. Это говорит о том, что современным автомобильным системам также необходима надёжная защита от вредоносных программ», — комментирует Дмитрий Калинин, эксперт по кибербезопасности «Лаборатории Касперского».
«Современные автомобили становятся всё более технологичными и фактически превращаются в подключённые устройства с постоянным доступом к интернету. Это расширяет их функциональные возможности, но одновременно создаёт новые потенциальные возможности для реализации кибератак. Обнаруженная кампания особенно показательна тем, что злоумышленники нашли способ использовать легитимный механизм обновления программного обеспечения для доставки вредоносного ПО непосредственно на автомобильные головные устройства. Для пользователей это ещё один повод внимательно относиться к безопасности подключённых устройств и своевременно устанавливать официальные обновления программного обеспечения. Производителям, в свою очередь, важно уделять особое внимание безопасности на всех этапах жизненного цикла автомобильных систем — от разработки и обновлений до защиты встроенных приложений и каналов связи», — комментирует Мушвиг Мамедов, официальный представитель «Лаборатории Касперского» в Азербайджане.
Подробный отчёт о новой киберугрозе доступен на сайте Securelist.
