ハッカー、Androidカーヘッドユニットにプロキシボットネットのマルウェアを感染させる

Androidベースのカーヘッドユニットを狙うサプライチェーン攻撃において、正規のデバイス更新アプリが悪用され、侵害したデバイスをプロキシボットネットに組み込んだり広告詐欺に利用したりするマルウェアの拡散手段となっていることが分かりました。

Kasperskyの研究者はこのマルウェアを分析し、その活動をBadBoxマルウェアボットネットとの関連が過去に指摘されている脅威アクターグループ「MoYu」によるものと特定しています。

研究者らによると、これは特定のカーヘッドユニットを標的として作成されたマルウェア感染チェーンとしては、初めて記録された事例だといいます。

MoYuの活動は、Shenzhen Driving Control Technology Co., Ltd.傘下の中国自動車ソフトウェア・ハードウェア企業であるDoFunのシステムを標的としています。

DoFunは自動車向けソフトウェア、クラウドサービス、ハードウェアを提供する企業で、汎用のAndroidベースのヘッドユニットを販売しています。このヘッドユニットは、車のインフォテインメント、ナビゲーション、各種設定を司る司令塔として機能します。

2026年6月、Kasperskyの研究者は、DoFunの正規システムアプリ「TWCore」から不正なAPKファイルがダウンロードされていることを発見しました。TWCoreはcardoor[.]cnでホストされるMQTTサーバーを通じて指示を受け取ります。

この見慣れないアプリにはインターフェースがなく、「JarService」と呼ばれるマルウェアの一種です。起動すると、このマルウェアは第2段階のローダーを復号・実行し、コマンド&コントロール(C2)サーバーとの通信を確立した上で、さらに別の暗号化されたペイロードをダウンロードします。

最終的なペイロードは、機種名、ディスプレイ解像度、Wi-Fi SSID、MACアドレスといったデバイス情報を定期的に報告するとともに、攻撃者からコマンドを取得します。

このマルウェアは以下の9種類のコマンドに対応しています。

1. return – AndroidのSharedPreferencesストレージから指定した値を取得する
2. copy – 保存済みまたはダウンロードしたコンテンツをデバイスのクリップボードにコピーする
3. http – HTTPのGETまたはPOSTリクエストを送信し、レスポンスの一部を保存できる
4. web – WebView内でURLを開き、指定されたJavaScriptを実行する
5. loadlib – Kasperskyのレポート公開時点では完全には実装されていない
6. loadlib2 – 任意のコードや追加モジュールをダウンロードして実行する
7. loadlib3 – Kasperskyのレポート公開時点では完全には実装されていない
8. deeplink – 指定したリソースをブラウザで開く
9. traceroute – ICMP pingを使って指定したホストへの到達可否を確認する

Kasperskyによると、このマルウェアは運転や重要な車両制御システムには干渉せず、広告詐欺と、インターネット接続されたカーヘッドユニットを収益化目的のレジデンシャルプロキシノードに転用することを目的として設計されているとみられます。

研究者らの調査によると、攻撃者は主に「zhima」という名前のリバースプロキシモジュールを読み込ませ、ヘッドユニットをプロキシボットネットのノードに変えていたほか、クリック詐欺活動のためのWebリクエストも行わせていたということです。

Kasperskyによると、同社はこの調査結果をDoFunに通知したところ、この中国企業は問題を解決したと回答したとのことです。

BleepingComputerは両社に対し、最初の侵害経路について質問を送っており、回答が得られ次第、本記事を更新する予定です。