Bezpečnostní společnost Kaspersky odhalila malware, který se do některých automobilových multimediálních jednotek s Androidem dostával prostřednictvím jejich vlastního aktualizačního mechanismu. Problém se týkal systémů využívajících software DoFun a aplikaci TWCore. Napadené zařízení pak mohlo sloužit k reklamním podvodům nebo jako součást proxy botnetu. Majitel přitom nemusel stahovat žádnou pochybnou aplikaci, otevírat podezřelý odkaz ani ručně instalovat neznámý soubor.
Kaspersky škodlivý software objevil při sledování hrozeb pro Android v červnu 2026. Výzkumníky zaujala aplikace, která se chovala jako běžně nainstalovaný program, ale neměla žádné uživatelské rozhraní. Další analýza ukázala, že se do zařízení mohla dostat bez vědomého zásahu uživatele. Kaspersky označuje případ za první zdokumentovanou infekci automobilových infotainmentů s řetězcem šíření vytvořeným právě pro tento typ zařízení.
Důležité je, čeho se objev netýká. Nejde o obecný problém všech automobilů používajících Android a nejde ani o Android Auto od Googlu, které slouží k propojení telefonu s infotainmentem. Kaspersky popsal konkrétní skupinu multimediálních jednotek využívajících software společnosti DoFun. Výzkum rovněž nepopsal převzetí řízení, brzd nebo jiných bezpečnostně kritických systémů vozidla.
Škodlivý program přišel přes systém určený pro aktualizace
Jedním z klíčových prvků napadených systémů je TWCore. Jde o legitimní systémovou aplikaci, jejímž úkolem je mimo jiné sběr analytických informací a aktualizace softwaru multimediální jednotky. Její název balíčku v Androidu je com.tw.core.
TWCore dostává instrukce o tom, které APK soubory má stáhnout a nainstalovat. Aktualizační mechanismus přitom umožňuje nejen aktualizovat již existující software, ale také instalovat aplikace, které se v zařízení předtím nenacházely. Právě tento distribuční kanál útočníci zneužili.
První škodlivou částí zachycenou Kaspersky byla aplikace označená JarService. Telemetrie bezpečnostní společnosti ukázala, že v pozorovaných případech ji instalovala právě aplikace s názvem balíčku com.tw.core. JarService neměl vlastní uživatelské rozhraní, takže jeho přítomnost nemusela být pro řidiče na obrazovce nijak zjevná.
Auta jsou chytřejší než kdy dřív, ale spolehlivosti to nepomáhá. Právě naopak
Tím navíc infekce nekončila. JarService fungoval jako první část vícestupňového mechanismu, který spouštěl další komponenty a komunikoval se servery útočníků. Kaspersky při analýze zjistil devět různých příkazů. Umožňovaly například zobrazování nevyžádané reklamy, provádění reklamních podvodů nebo stahování dalších škodlivých modulů. Útočníci zároveň mohli získávat informace o zařízení, například jeho model, rozlišení displeje, identifikaci připojené Wi-Fi sítě a MAC adresu.
Výzkumníci také identifikovali modul označený jako zhima, který umožňoval využít napadené zařízení jako reverzní proxy. Internetové připojení multimediální jednotky tak mohlo sloužit k přeposílání provozu jiných uživatelů, kteří následně na internetu vystupovali prostřednictvím IP adresy napadeného zařízení. Právě možnost trvalého připojení k internetu přes SIM kartu, Wi-Fi nebo hotspot dělá podobná zařízení pro takové využití zajímavá.
Za kampaní má být skupina spojená s botnetem BADBOX
Kaspersky aktivitu s vysokou mírou jistoty připisuje skupině MoYu Group, kterou spojuje s platformou BADBOX. K tomuto závěru výzkumníci došli mimo jiné porovnáním kódu a infrastruktury s dříve sledovanými útoky na zařízení s Androidem. Objevili také vazby na rezidenční proxy služby PXYEDGE a ProxyForU.
Napadená multimediální jednotka se tím mohla stát jedním z uzlů proxy botnetu. Útočníci tak nezískávali pouze další zařízení schopné spouštět jejich kód, ale také internetové připojení a IP adresu, přes které bylo možné směrovat cizí provoz.
Pro majitele nebo uživatele auta nemusí být taková infekce na první pohled viditelná. Vyšší spotřeba mobilních dat, zpomalení nebo nestabilita multimediální jednotky ale samy o sobě nejsou důkazem napadení. Stejné projevy mohou mít řadu jiných příčin. Důležitější jsou konkrétní stopy po škodlivém softwaru, například JarService nebo shoda s indikátory kompromitace zveřejněnými Kaspersky.
Přítomnost TWCore ještě neznamená, že je rádio napadené
Kaspersky nespojuje problém se všemi multimediálními jednotkami používajícími Android. Výzkum se týká systémů s firmwarem DoFun a aktualizační aplikací TWCore. Samotná přítomnost TWCore přitom infekci nepotvrzuje. Jde o legitimní aplikaci, jejíž distribuční mechanismus byl zneužit.
Průzkum odhalil, které technologické vychytávky řidiči nechtějí. Nejméně oblíbené je ovládání gesty
Majitelé podobných aftermarketových jednotek mohou nejprve zjistit přesný model zařízení a verzi firmwaru. V nastavení Androidu lze u některých zařízení zobrazit systémové aplikace a ověřit přítomnost TWCore, případně balíčku com.tw.core. Ani jeho nalezení však není důkazem, že konkrétní zařízení malware skutečně dostalo.
Situaci komplikuje skutečnost, že zařízení a software tohoto typu se mohou prodávat pod různými obchodními značkami. Nelze proto jednoduše říci, že by se problém týkal všech rádií nesoucích určité obecné označení. DoFun poskytuje software a služby pro různé platformy automobilových head unitů a nabízí také jejich úpravy pro další značky.
Kaspersky společnost DoFun o problému informoval. DoFun následně podle bezpečnostní společnosti oznámil, že bezpečnostní nedostatky odstranil. Kaspersky však toto vyjádření prezentuje jako informaci výrobce.
Pokud majitel zjistí, že jeho dodatečně namontovaná multimediální jednotka používá DoFun nebo TWCore, je vhodné nejprve zjistit přesný model a verzi softwaru a následně ověřit u výrobce či prodejce správný aktualizační nebo servisní postup. Náhodně nalezený firmware z internetových fór nemusí odpovídat konkrétní hardwarové variantě zařízení a může způsobit další problémy.
Zdroj: topspeed.sk, kaspersky.co.uk, bleepingcomputer.com
Štítky: android, autorádio, infotainment, JarService, kybernetická bezpečnost, malware, TWCore, virus