Kaspersky descoperă un malware care poate infecta sistemele multimedia Android ale maşinilor

Sistemele multimedia ale maşinilor au devenit tot mai sofisticate, însă funcţiile suplimentare vin şi cu riscuri de securitate pe care şoferii nu le iau întotdeauna în calcul. Cercetătorii Kaspersky au identificat o campanie de malware care vizează sistemele Head Unit bazate pe Android şi care poate transforma sistemul multimedia al unei maşini într-un punct de acces pentru activităţi rău intenţionate.

Campania a fost descoperită în iunie 2026 şi reprezintă, potrivit Kaspersky, primul caz documentat în care un automobil este infectat printr-un lanţ de atac conceput special pentru un sistem Head Unit. Malware-ul nu apare sub forma unei aplicaţii evident periculoase, ci este instalat în fundal şi poate rula fără ca şoferul să îşi dea seama că sistemul a fost compromis.

Sistemele Head Unit pot fi instalate din fabrică sau adăugate ulterior pe maşini mai vechi. Multe dintre acestea folosesc Android, ceea ce le permite producătorilor să ofere funcţii precum navigaţie, conectivitate la internet şi diverse aplicaţii multimedia. Această flexibilitate vine însă şi cu riscuri, deoarece deschide posibilitatea instalării unor aplicaţii maliţioase dezvoltate pentru Android.

În plus, multe dintre aceste sisteme sunt conectate permanent la internet şi pot utiliza cartele SIM pentru funcţiile online. Chiar dacă nu stochează, în mod obişnuit, cantităţi mari de date personale sensibile, ele rămân dispozitive conectate şi pot deveni o ţintă atractivă pentru atacatori.

În cazul analizat de Kaspersky, problema a pornit chiar de la mecanismul de actualizare software. Malware-ul a fost distribuit prin firmware-ul mai multor modele de sisteme Head Unit Android produse de DoFun. Compania a fost informată de cercetătorii Kaspersky şi susţine că problema asociată distribuirii software-ului a fost remediată.

Lanţul de infectare folosea o aplicaţie legitimă de sistem, TWCore, creată pentru operaţiuni precum colectarea datelor analitice şi actualizarea software-ului. Aplicaţia putea primi de la serverele producătorului instrucţiuni privind programele care trebuiau instalate sau actualizate, iar atacatorii au exploatat acest mecanism pentru a trimite către dispozitive un program maliţios necunoscut anterior.

Pentru a evita detectarea, atacul era împărţit în mai multe etape. Unul dintre elementele centrale era dropperul JarService, folosit pentru instalarea componentelor maliţioase. Programul putea fi tratat drept o aplicaţie obişnuită, fără să afişeze o interfaţă vizibilă şi fără să ofere şoferului indicii evidente că sistemul multimedia fusese compromis.

Kaspersky a identificat nouă comenzi pe care atacatorii le puteau transmite sistemului infectat. Printre acestea se numără afişarea de reclame nedorite, activităţi asociate fraudelor publicitare şi descărcarea unor module suplimentare. În acest fel, sistemul multimedia al maşinii putea fi transformat într-o componentă a unei infrastructuri controlate de la distanţă.

Atacatorii puteau obţine şi informaţii despre dispozitivul compromis. Printre datele colectate se numărau modelul sistemului, rezoluţia ecranului, identificatorul reţelei Wi-Fi la care era conectat şi adresa MAC. Astfel de informaţii pot fi folosite pentru identificarea şi gestionarea dispozitivelor infectate.

Cercetătorii Kaspersky consideră că în spatele campaniei s-ar putea afla gruparea MoYu, despre care există posibile legături cu botnetul BadBox. Ipoteza se bazează inclusiv pe asemănările dintre această campanie şi atacuri observate anterior asupra unor dispozitive Android de tip TV box.

BadBox este cunoscut pentru compromiterea unor dispozitive Android, inclusiv box-uri pentru streaming, telefoane şi tablete. În anumite cazuri, dispozitivele pot ajunge la cumpărători cu componente maliţioase instalate încă din fabrică. După conectarea la internet, acestea pot fi utilizate pentru diverse activităţi ilegale, de la fraude publicitare şi colectarea de informaţii până la transformarea conexiunilor de acasă în relee pentru trafic proxy.

Noua campanie arată că aceeaşi categorie de ameninţări poate ajunge şi în industria auto, pe măsură ce sistemele multimedia devin, practic, dispozitive Android conectate permanent la internet. Descoperirea nu înseamnă că orice maşină echipată cu Android este infectată şi nici că malware-ul poate controla automat funcţiile esenţiale ale automobilului. Ea demonstrează însă că securitatea software-ului instalat pe aceste sisteme devine tot mai importantă.

Un sistem multimedia nu mai trebuie privit doar ca un accesoriu pentru muzică, navigaţie sau conectarea telefonului. Dacă foloseşte Android, are acces la internet şi dispune de un mecanism de actualizare software, poate deveni o ţintă pentru atacuri informatice. În acest context, securitatea depinde în mare măsură de modul în care producătorul gestionează actualizările, aplicaţiile şi componentele software instalate pe dispozitiv.