セキュリティ研究者らは、Androidベースの車載ヘッドユニット(カーナビ・車載インフォテインメントシステム)を専門に狙う、初めて確認されたマルウェアキャンペーンを発見しました。この攻撃は、悪名高いBADBOXボットネットと関連のある脅威アクター「MoYu Group」によるものと高い確度で特定されています。
今回の発見は、ボットネット運営者がスマートフォンやスマートTV、セットトップボックスにとどまらず、車載インフォテインメントシステムにまで攻撃対象を広げていることを示す重大なエスカレーションであり、接続機能を持つスマート機器に侵入するその他の秘密裏のマルウェアキャンペーンで見られる傾向とも一致しています。
Kaspersky のSecurelistの調査レポートによれば、研究者らは2026年6月にAndroid関連の脅威を監視していた際、通常のユーザーアプリのようにインストールされるにもかかわらず、ユーザーインターフェースが一切存在しないという不審なアプリケーションを発見しました。これは、ユーザーの同意なしにデバイスへ入り込んでいることを示唆する明確な危険信号でした。
調査の結果、この感染はDoFun製ヘッドユニットのファームウェアに起因することが判明しました。アナリティクスとソフトウェアアップデートを担う正規のシステムアプリ「TWCore」が、配信メカニズムとして悪用されていたのです。
TWCoreは、cardoor[.]cnでホストされているMQTTブローカー経由でアップデート指示を受け取ります。installNotExistsという名前のブール型フラグにより、このブローカーはデバイス上に存在しなかったAPKを配信し、通常のアップデートチェックのロジックを完全に迂回してサイレントインストールすることが可能になっていました。
Kasperskyはベンダーにこの問題を通知しており、ベンダー側は既に修正を報告済みとのことです。
このマルウェアは、複数の段階を経る構造で展開されます。「JarService」と名付けられた第1段階は、UIを持たないドロッパーであり、XOR暗号化されたブロックを復号してリフレクションにより第2段階のペイロードを読み込みます。この手口は、実行時の検査を回避するよう設計された検知回避型のマルウェアドロッパーと同様の動作です。
第2段階はローダーとして機能し、デバイス情報をコマンド&コントロールサーバーへビーコン送信した上で、第3段階のペイロードのURLを取得します。
社内では「BillingMain」として追跡されている第3段階は、クリッカーおよびリバースプロキシローダーとして機能します。90分ごとにデバイスのフィンガープリントデータを添えてチェックインを行い、設定の更新、あるいはhttp、web、loadlib2、deeplinkを含む対応済みの9種類のコマンドのいずれかを取得します。
最も重大な結果をもたらすコマンドは、「zhima」と呼ばれるリバースプロキシモジュールを展開するものです。このモジュールは、ほぼ同時期にNokia DeepfieldのEmergency Response Teamによって、TVセットトップボックス上で動作しているものとして独立に確認されており、このキャンペーンの中心的な目的、すなわち広告詐欺クリッカー機能と並行して収益化可能なプロキシボットネットを構築することを裏付けています。
研究者らは、第2段階のローダー内にmosdk-host-loaderという名前のスレッドを発見したことをきっかけに、このキャンペーンをMoYu Groupと関連付けました。このスレッドは、文字通りAdmoyuServiceという名前のサービスを含む、悪意のあるセットトップボックス向けアプリと接続していたのです。
招待コードによる登録機能を備えたadmin.uipoxy[.]comのzhima管理パネルをはじめとするインフラの重複や、PXYEDGEおよびProxyForUに関連するレジデンシャルプロキシ系ドメイン間で共有される認証API のパターンも、この帰属の裏付けをさらに強固なものにしています。
Kasperskyは各コンポーネントをHEUR:Trojan-Dropper.AndroidOS.Agent.vu、HEUR:Trojan-Downloader.AndroidOS.Agent.ov、HEUR:Trojan-Proxy.AndroidOS.Zhima.、HEUR:Trojan.AndroidOS.Vo1d.として検出しています。
JarService、ローダー、クリッカー、zhimaの各亜種のハッシュ値を含む侵害指標(IoC)の全リストに加え、kshahnd[.]sbsやmdsjhd[.]sbsといったC2ドメインも公開されており、こうした悪意あるボットネット運用に対抗するための実用的な情報をネットワーク防御担当者に提供しています。
BADBOXに対するテイクダウン(摘発・停止)の取り組みが進められているにもかかわらず、関連する脅威アクターは配信手法の多様化を続けています。事前インストールされたバックドアから、改ざんされたIPTVビルド、そして今回明らかになった正規のファームウェアアップデートの配信経路にまで、その手口は広がっています。
車載ヘッドユニットは、ナビゲーションやアップデートのためにSIMカード経由でインターネットに接続されていることが多く、ベンダーやフリート運用事業者が今後の脅威モデルに組み込むべき、ほぼ無防備な新たなフロンティアとなっています。
翻訳元: https://cyberpress.org/badbox-moyu-android-proxy-botnet/
