Twoje auto powoli zmienia się w komputer na kółkach, a to oznacza też nowe zagrożenia. Eksperci z firmy Kaspersky wykryli pierwszą udokumentowaną kampanię złośliwego oprogramowania zaprojektowaną specjalnie do ataku na samochodowe jednostki multimedialne z Androidem. To przełomowe odkrycie pokazuje, że cyberprzestępcy zaczynają traktować deski rozdzielcze jak kolejny cel do wykorzystania.
Kamień milowy w cyberatakach na samochody
Kaspersky ujawnił kampanię wykrytą w czerwcu 2026 roku. Atak był wymierzony w główne jednostki samochodowe (Head Units) – systemy łączące multimedia z funkcjami kontroli pojazdu. Według badaczy jest to pierwszy przypadek, w którym malware infekuje samochodową jednostkę główną za pomocą łańcucha infekcji opracowanego specjalnie dla tych pojazdów. Celem było wdrożenie wieloetapowego oprogramowania umożliwiającego oszustwa reklamowe i inne szkodliwe działania.
Objawienie: legalna aplikacja w nielegalnym celu
Kluczowym elementem ataku było wykorzystanie legalnego mechanizmu aktualizacji oprogramowania. Złośliwe oprogramowanie rozprzestrzeniało się za pośrednictwem systemów aktualizacji wbudowanych w oprogramowanie różnych modeli jednostek głównych na Androidzie, zasilanych przez firmę DoFun.
Łańcuch infekcji zaczynał się od całkowicie legalnej aplikacji systemowej TWCore. Jej normalnym zadaniem jest zbieranie danych analitycznych i aktualizowanie oprogramowania jednostki głównej. TWCore otrzymywała z serwera producenta instrukcje, które aplikacje należy zainstalować lub zaktualizować. To właśnie ten kanał przejęli atakujący, dostarczając wcześniej nieznane złośliwe oprogramowanie za pomocą programu ładującego o nazwie JarService.
Proces infekcji był skomplikowany i wieloetapowy, zaprojektowany tak, by uniknąć wykrycia. Po zainstalowaniu szkodnik działał jak zwykła aplikacja użytkownika, ale nie miał żadnego interfejsu – pozostawał ukryty w tle, a właściciel samochodu nie miał pojęcia o jego obecności.
Dziewięć poleceń i kradzież danych
Kaspersky odkrył, że atakujący zaimplementowali w malware dziewięć różnych poleceń. Umożliwiały one m.in. wyświetlanie niechcianych reklam, przeprowadzanie oszustw reklamowych oraz pobieranie dodatkowych, złośliwych modułów. Ponadto program gromadził dane techniczne urządzenia, takie jak rozdzielczość ekranu, model sprzętu, identyfikator podłączonej sieci Wi-Fi oraz adres MAC.
Chociaż jednostki główne rzadko przechowują wrażliwe dane osobowe, często mają stałe połączenie z internetem do nawigacji i aktualizacji, a wiele z nich wyposażonych jest w gniazda kart SIM. To właśnie sprawia, że są atrakcyjnym celem dla cyberprzestępców, którzy potrzebują urządzeń z dostępem do sieci.
Podejrzani: grupa MoYu i botnet BadBox
Badacze z Kaspersky’ego powiązali tę kampanię z grupą MoYu, która jest ściśle związana z notorycznym botnetem BadBox. Podobieństwa odkryto, porównując tę kampanię z wcześniejszymi atakami na przystawki telewizyjne. Ponadto panel administracyjny tego botnetu zawierał wspólne elementy, takie jak osadzone adresy URL w kodzie strony internetowej, które powiązano z serwisami proxy PXYEDGE i ProxyForU.
BadBox to rozległa sieć porwanych urządzeń z Androidem – przystawek TV, telefonów i tabletów – które są fabrycznie zainfekowane złośliwym oprogramowaniem. Cyberprzestępcy wykorzystują je do oszustw reklamowych, kradzieży danych i przekształcania domowych sieci w nielegalne przekaźniki proxy do przekazywania ruchu.
Reakcja producenta i przestroga
Kaspersky poinformował firmę DoFun o wykrytym problemie. Zgodnie z informacjami od dostawcy usterka została już usunięta z jego oprogramowania.
Dmitrij Kalinin, ekspert ds. bezpieczeństwa w Kaspersky, skomentował: „Pomimo wysiłków ekspertów ds. cyberbezpieczeństwa i organów ścigania mających na celu zamknięcie botnetu BadBox, związani z nim pojedynczy aktorzy kontynuują złośliwe działania, infekując urządzenia na całym świecie. Metody dostarczania takiego złośliwego oprogramowania stają się bardzo zróżnicowane – od wstępnie zainstalowanych tylnych furtek po przejęte aplikacje IPTV. W tym badanym przypadku zaobserwowaliśmy jeszcze bardziej wyrafinowaną metodę dostarczania, wykorzystującą legalną funkcję aktualizacji oprogramowania aplikacji systemowej. Złośliwi aktorzy aktywnie podbijają nowe platformy. To złośliwe oprogramowanie stało się pierwszą aplikacją celującą w samochodowe jednostki główne poprzez łańcuch infekcji opracowany specjalnie dla tych systemów pojazdów. Stanowi to ostrzeżenie, że nowoczesne platformy motoryzacyjne pilnie potrzebują solidnej ochrony przed złośliwym oprogramowaniem”.
Przypadek ten unaocznia, że rozwój połączonych z internetem systemów samochodowych rozszerza pole zainteresowania cyberprzestępców. Ekran multimedialny dawno przestał być tylko radiem z wyświetlaczem – dziś to pełnoprawny komputer, który może stać się celem ataku i narzędziem w rękach hakerów.









