自動車ヘッドユニットを狙う初のAndroidマルウェア、ファームウェア更新機能を悪用しプロキシボットネットを構築

Android搭載の自動車用ヘッドユニットが持つファームウェア更新機能を悪用し、広告詐欺ツールを展開すると同時に、車両をレジデンシャルプロキシボットネットへ組み込む、複数段階から成るAndroidマルウェアキャンペーンが確認されました。

2026年6月に発見されたこの活動は、自動車用ヘッドユニットを標的として作られたマルウェア感染チェーンとしては初めて文書化された事例であり、BADBOXエコシステムと関連のある攻撃者「MoYu Group」の犯行と高い確度で断定されています。

このキャンペーンは、デバイスの分析やソフトウェア更新に使われる正規の特権システムアプリ「TWCore」を通じて、DoFun搭載の複数のAndroidヘッドユニットを標的にしていました。

TWCoreは、cardoor[.]cnに関連付けられたMQTTブローカーからAPKインストール指示を受信します。

そのアップデートスキーマには「installNotExists」というブール値が含まれており、ユニットにまだインストールされていないアプリケーションを展開できるようになっています。これは本来意図された機能ですが、攻撃者はこれを悪用し悪意のあるAPKを密かに配布していました。

テレメトリからは、TWCoreが「JarService」という名称の未知のヘッドレスアプリケーションをダウンロード・インストールしていたことが判明しました。このパッケージにはUIが存在せず、正規の消費者向けアプリになりすまそうともしていません。

JarServiceは第一段階のドロッパーとして機能します。埋め込まれたペイロードデータはXOR暗号化されたブロックとして格納されており、その1バイトの復号キーはブロックごとに順次変化します。

復号されたコンテンツには、バージョン情報、エントリポイント、そして次のペイロードを読み込むために必要なコードが含まれています。

ComputerScience

第二段階は、暗号化された文字列とJavaのリフレクションを用いて最終コンポーネントを実行するローダーです。

このローダーは、パッケージ名、アプリケーションバージョン、チャネル識別子、ローダーバージョンといったインプラントのメタデータをコマンド&コントロール(C2)インフラに送信します。するとC2は、暗号化された第三段階のペイロードをホストするdexUrlを返します。

第三段階のコンポーネントは、攻撃者側の/cpc/api/taskエンドポイントに対しておよそ90分ごとにポーリングを行います。

表示解像度、デバイスモデル、Wi-Fi SSID、MACアドレスといったホスト情報を報告する一方、更新されたC2ホスト、タスクパス、コマンド設定を受信します。

このアーキテクチャにより、攻撃者側の運用者は単一目的のインプラントではなく、柔軟なリモート実行フレームワークを手にすることになります。

このマルウェアは、HTTPリクエストの発行、WebViewインスタンスでのURL起動、JavaScriptの実行、クリップボードデータの改変、接続テスト、任意モジュールの取得といったコマンドに対応しています。

Kaspersky の研究者によると、DoFunはこのアップデートチャネルの悪用について通知を受け、根本原因となった問題はすでに修正済みとしています。この特性が、システムアップデーターを介した秘密裏の配布経路を暴くきっかけとなりました。

観測されたコマンドの中で最も重要なのが「loadlib2」で、攻撃者が制御するパラメータと整合性ハッシュを用いて追加コードをダウンロード・起動します。

Androidマルウェアキャンペーン

攻撃者はloadlib2を使い、「zhima」と呼ばれるリバースプロキシモジュールを展開しました。このコンポーネントが有効化されると、感染したヘッドユニットはトラフィック中継装置に変貌し、プロキシサービスの利用者や運営者はその車両の接続を経由してインターネット活動をルーティングできるようになります。

この手口はレジデンシャルプロキシボットネットを模したもので、侵害されたエンドポイントが地理的に多様な出口インフラを提供し、それが収益化されたり、詐欺・スキャンなどの悪用に利用されたりします。

研究者らは、広告悪用やクリック詐欺の運用と一致するコマンドも観測しています。

同じzhimaコンポーネントは、Nokia Deepfieldの研究者によってテレビ用セットトップボックス上でも独立に確認されており、このキャンペーンが車両の制御システムを狙った攻撃ではなく、より広範なデバイス収益化オペレーションの一部であるとの見立てを裏付けています。

現在判明している範囲では、このマルウェアはインターネットに接続されたインフォテインメント機器の悪用を狙って設計されたものであり、運転や安全に関わる車両機能への干渉は意図されていないとみられます。

Hacking& Cracking

Kasperskyは、ローダーのスレッド名「mosdk-host-loader」、テレビ用セットトップボックス上のマルウェアとのコード類似性、そしてネットワークインフラの重複を根拠に、この作戦をMoYuに帰属させています。

研究者らはまた、プロキシ管理インフラとレジデンシャルプロキシブランドに関連するサービスとの間にも関連性を確認しており、侵害されたヘッドユニットが商業的に利用価値のあるプロキシネットワークに組み込まれていたとの見立てを支持しています。

Kasperskyは本キャンペーンを、HEUR:Trojan-Dropper.AndroidOS.Agent.vu、HEUR:Trojan-Downloader.AndroidOS.Agent.ov、HEUR:Trojan-Proxy.AndroidOS.Zhima.*、HEUR:Trojan.AndroidOS.Vo1d.*として検知しています。

今回の事案は、BADBOXに関連する脅威モデルがスマートフォン、テレビ、セットトップボックスにとどまらない範囲へ拡大していることを示しています。特権的な更新経路が任意のAPKをインストールできる場合、自動車向けAndroidプラットフォームもボットネット運用者にとって現実的な標的になり得るのです。

侵害指標(IoC)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンジング処理(例: [.])を施しています。再有効化する際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内に限定してください。

★ 削るべきセキュリティツールはどれか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード

SecurityProducts & Services