gik|iewicz

Kaspersky w czerwcu 2026 roku wykryło pierwszego udokumentowanego wirusa atakującego samochodowe zestawy główne oparte na Androidzie. Złośliwe oprogramowanie rozprzestrzenia się przez wbudowany mechanizm aktualizacji firmware’u, a jego ślad prowadzi do sieci botów BADBOX.

TL;DR: Kaspersky odkryło pierwszego w historii wirusa Android infekującego samochodowe zestawy główne przez legalny kanał aktualizacji firmware’u. Malware celuje w urządzenia DoFun, dostawcy z Hongkongu, i instaluje moduł proxy zhima powiązany z grupą MoYu oraz botnetem BADBOX. Zainfekowane ekrany generują oszustwa reklamowe i stają się węzłami sieci proxy. Źródło: Securelist.

Czym jest nowy malware infekujący zestawy główne Android?

Jest to pierwsze udokumentowane złośliwe oprogramowanie wymierzone w samochodowe jednostki multimedialne oparte na Androidzie, które rozprzestrzenia się przez wbudowany aktualizator firmware’u. Badacze z Kaspersky wykryli zagrożenie w czerwcu 2026 roku, jak donosi SC Media. Dotychczas malware Android infekował telefony, tablety oraz tanie urządzenia IoT, a nie systemy multimedialne pojazdów. Co więcej, infekcja nie wymaga żadnej interakcji użytkownika poza zwykłą aktualizacją oprogramowania.

Sama kampania wykorzystuje zaufany kanał dystrybucji, mianowicie mechanizm TWCore odpowiedzialny za pobieranie aktualizacji. Dlatego antywirusy i użytkownicy nie mają powodów do podejrzliwości – instalacja wygląda jak rutynowa aktualizacja systemu.

Jak wirus dostaje się do firmware’u zestawu głównego?

Atak wykorzystuje oprogramowanie dostarczane przez firmę DoFun, hongkońskiego dostawcę systemów dla Androidowych zestawów głównych, jak wyjaśnia PCMag. Wektor wejścia wygląda następująco:

• złośliwy kod trafia do kanału aktualizacji obsługiwanego przez mechanizm TWCore
• aktualizator pobiera zainfekowany pakiet zamiast oryginalnego firmware’u
• instalacja przebiega bez interakcji kierowcy, w tle
• malware zbiera dane urządzenia i komunikuje się ze zdalnym serwerem C2
• na żądanie pobiera dodatkowe moduły, w tym komponent proxy
• brakuje weryfikacji podpisów cyfrowych pobieranych pakietów
• przejęcie kanału dystrybucji oznacza przejęcie urządzenia
• kierowca nie dostaje żadnego ostrzeżenia podczas instalacji

Zatem kluczowa słabość leży w braku weryfikacji podpisów cyfrowych pobieranych pakietów. Aktualizator po prostu ufa serwerowi, z którym rozmawia. W rezultacie każdy, kto przejmie kontrolę nad kanałem dystrybucji, przejmuje kontrolę nad urządzeniem w pojeździe.

Czym jest moduł proxy zhima i do czego służy?

Zhima to komponent proxy instalowany przez malware na zainfekowanych zestawach głównych, powiązany z grupą MoYu Group oraz siecią BADBOX, opisuje TechNadu. Moduł przekształca urządzenie w węzeł anonimowej sieci proxy, przez którą przepływa ruch osób trzecich – na przykład przestępców ukrywających swoje IP podczas oszustw internetowych. Właściciel pojazdu nie widzi żadnych objawów, bo ruch odbywa się w tle.

Podobny mechanizm ataku przez łańcuch dostaw opisano wcześniej w analizie Wykryto złośliwe pakiety npm w Red Hat Cloud Services. Tam również zaufany kanał dystrybucji stał się wektorem infekcji.

Jakie są objawy zainfekowanego zestawu głównego?

Malware działa głównie w tle, dlatego kierowca może nie zauważyć infekcji przez długi czas. Jednakże najbardziej widocznym symptomem są niechciane reklamy wyświetlane na ekranie multimedialnym, jak opisuje BleepingComputer. Ponadto urządzenie wysyła dane o sobie na zdalny serwer oraz pobiera dodatkowe moduły podczas pracy w tle, donosi Pravda English.

Lista potencjalnych sygnałów ostrzegawczych:

• reklamy pojawiające się bez wyraźnej przyczyny na ekranie
• nieznane aplikacje instalujące się same
• zwiększone zużycie transferu danych mobilnych
• spowolnienie działania interfejsu multimedialnego
• nietypowa komunikacja sieciowa w tle
• niespodziewane restarty systemu
• pojawienie się nieznanych usług systemowych
• reklamy otwierające się samoczynnie po uruchomieniu silnika

Zatem jeśli ekran w samochodzie zaczyna zachowywać się jak zainfekowany telefon, to konkretny sygnał ostrzegawczy.

Czy atak zagraża bezpieczeństwu jazdy?

Na ten moment nie ma dowodów, że malware wpływa na systemy jazdy, takie jak hamulce czy kierownica. Kampania celuje wyłącznie w jednostkę multimedialną, a nie w sterowniki pojazdu. Mimo to badacze z Kaspersky podkreślają, że infekcja firmware’u otwiera drzwi do pobierania dowolnych dodatkowych modułów na żądanie serwera C2, wyjaśnia Security Affairs.

Wobec tego ryzyko ewolucji ataku pozostaje realne. Co więcej, zainfekowany ekran staje się węzłem botnetu BADBOX, więc pojazd uczestniczy w przestępczej infrastrukturze bez wiedzy właściciela. To problem prawny, nie tylko techniczny.

Czym jest botnet BADBOX i dlaczego się rozrasta?

BADBOX to globalna sieć zbudowana z zainfekowanych urządzeń z Androidem, pierwotnie tanich smartfonów, tabletów oraz sprzętu IoT. Teraz dołączyły do niej samochodowe zestawy główne, co opisuje Cyber Insider. Kampania jest powiązana z grupą MoYu Group, która czerpie zyski z oszustw reklamowych oraz wynajmowania przepustowości zainfekowanych urządzeń jako usług proxy, dodaje Infobae.

Schemat biznesowy wygląda tak:

• urządzenie zostaje zainfekowane przez kanał aktualizacji
• malware instaluje moduł proxy zhima
• przestępcy sprzedają dostęp do sieci proxy osobom trzecim
• ruch klientów proxy przepływa przez ekran w pojeździe
• właściciel nie widzi nic, a grupa zarabia
• każdy nowy ekran poszerza pojemność sieci proxy

Dlatego każdy zainfekowany ekran to pasywny dochód dla grupy przestępczej.

Jak chronić się przed malware w zestawie głównym?

Przede wszystkim warto ograniczyć zaufanie do nieznanych dostawców tanich jednostek multimedialnych. Na przykład sprzęt aftermarket od nieustalonych producentów rzadko przechodzi audyty bezpieczeństwa, czego dowodzi ta kampania opisana przez News4Hackers. Zatem podstawowe zasady ochrony obejmują:

• wybieranie jednostek multimedialnych od renomowanych producentów
• weryfikację, czy aktualizacje są podpisane cyfrowo
• monitorowanie zużycia danych przez system multimedialny
• rezygnację z podejrzanie tanich ekranów z niejasnym pochodzeniem
• regularne sprawdzanie zainstalowanych aplikacji na urządzeniu
• kontakt z producentem w razie podejrzanych reklam
• unikanie nieoficjalnych źródeł oprogramowania aktualizującego
• zgłaszanie nietypowego zachowania ekranu do sprzedawcy sprzętu

Podobną słabość łańcucha dostaw opisano w analizie Wykryto złośliwe pakiety npm w Red Hat Cloud Services – tam również zaufany kanał dystrybucji posłużył jako wektor ataku.

Często zadawane pytania

Kto odkrył malware infekujący samochodowe zestawy główne?

Zagrożenie wykryli badacze z Kaspersky w czerwcu 2026 roku – to pierwszy udokumentowany przypadek wirusa Android infekującego zestawy główne pojazdów przez mechanizm aktualizacji firmware’u (Securelist). Kampania celuje w urządzenia dostawcy DoFun z Hongkongu, więc warto sprawdzić pochodzenie własnego sprzętu.

Czy malware steruje samochodem?

Nie, kampania celuje wyłącznie w jednostkę multimedialną – służy do oszustw reklamowych i budowy sieci proxy BADBOX (BleepingComputer). Nie dotyczy systemów hamulcowych ani kierownicy.

Jak sprawdzić, czy ekran w samochodzie jest zainfekowany?

Zwróć uwagę na niechciane reklamy, samoczynnie instalujące się aplikacje oraz wzrost zużycia transferu danych – to główne objawy opisane przez badaczy (The Hacker News). W razie wątpliwości skontaktuj się z producentem sprzętu.

Czy infekcja wymaga działania kierowcy?

Nie, instalacja przebiega bez interakcji użytkownika, ponieważ złośliwy kod trafia do legalnego kanału aktualizacji obsługiwanego przez mechanizm TWCore (TechNadu). Dlatego sama czujność kierowcy nie wystarczy jako ochrona.

Podsumowanie

Kampania opisana przez Kaspersky pokazuje cztery twarde wnioski. Po pierwsze, Android w pojeździe jest tak samo podatny na malware jak telefon. Po drugie, kanał aktualizacji firmware’u bez weryfikacji podpisów to otwarte drzwi dla atakujących. Po trzecie, botnet BADBOX rozszerza się na nową kategorię urządzeń, a każdy zainfekowany ekran generuje pasywny dochód grupy MoYu. Po czwarte, tani sprzęt aftermarket od niezweryfikowanych dostawców niesie realne ryzyko prawne i techniczne.

Jeśli masz w samochodzie jednostkę multimedialną od DoFun lub innego mało znanego dostawcy, sprawdź jej zachowanie – reklamy, transfer danych oraz nieznane aplikacje. Śledź też dalsze raporty Kaspersky na Securelist, bo ta kampania najpewniej nie jest ostatnia.