Onderzoekers melden een nieuwe dreigingsfamilie die Android car malware levert aan autohardware. Het gaat niet om een gewone app die via een bekende installatieroute opduikt, maar om een aanvalsketen die misbruik maakt van de ingebouwde update-mechanismen van Android head units in voertuigen.
Volgens Kaspersky werd de dreiging in juni 2026 ontdekt en gericht op firmware voor voertuigbediening ontwikkeld door DoFun. Het uiteindelijke doel is tweedelig: het faciliteren van ad fraud en het opzetten van een proxy botnet via geïnfecteerde apparaten.
Waarom Android head units aantrekkelijk zijn
Een car head unit is een centrale hub in de auto. Hij combineert multimediafuncties met (gedeeltelijke) controle over voertuigaspecten. Sommige units worden in de fabriek geplaatst, andere zijn bedoeld voor oudere voertuigen en kunnen achteraf worden ingebouwd.
Omdat Android-gestuurde head units populair zijn, draait er vaak een breed pakket aan standaard apps op. Daardoor kunnen ook malware en kwaadaardige componenten makkelijker landen in dit ecosysteem. Daarbij komt dat veel units een SIM-kaartsleuf bevatten: dat geeft een kant-en-klare internetverbinding voor navigatie en software-updates.
Onderzoekers zien daarom een verschuiving in leveringsmethoden. Niet alleen vooraf geïnstalleerde achterdeurtjes of gecompromitteerde software kan een route zijn, maar ook legitieme update-functionaliteit binnen systeemapplicaties.
De infectie begint bij een legitieme systeemapp
De start van de keten draait om een ogenschijnlijk normale systeemapp met de naam TWCore en package-identifier com.tw.core. Deze app is bedoeld om analytics te verzamelen en om updates voor de head unit te beheren via het ophalen van APK-bestanden.
TWCore maakt daarbij gebruik van een MQTT-berichtbroker die wordt gehost op de subdomein cardoor[.]cn. Vervolgens wordt het APK-bestand gedownload naar het pad <TWCore external cache dir>/push/apk/ zodat installatie kan plaatsvinden.
In het onderzochte scenario bleek diezelfde updateketen echter te worden misbruikt om niet-bekende malware binnen te brengen. Na verantwoord disclosure is het onderliggende probleem dat deze distributie misbruik mogelijk maakte aangepakt.
Misbruik van updates: JarService en de loader
De aanvallers maakten gebruik van de updater om een aanvankelijk component te leveren die wordt aangeduid als JarService. Die fungeert als dropper en zet vervolgens een loader in gang.
De loader probeert eerst informatie over de implant te verzamelen en stuurt die vervolgens via een HTTP POST naar een server. Daarna stuurt de server een link terug naar de volgende payload.
Opvallend is dat de payloadnaam een referentie bevat naar een versienummer, bijvoorbeeld dex3.68. Daardoor kon Kaspersky meerdere varianten herleiden door andere versienummers te proberen. In totaal worden er zeven varianten teruggevonden die dateren van ten minste 3.57.
Van payload naar “gewone” gebruiker-app
De aanval eindigt met het plaatsen van de malware als een normale gebruikerstoepassing. Dat is een belangrijk detail: doordat het zich voordoet als een reguliere app zonder duidelijke interface, blijft het gedrag op de achtergrond en kan het lastiger zichtbaar zijn voor gebruikers.
De malware communiceert met command-and-control (C2) via vaste intervallen. Standaard verstuurt hij elke 90 minuten een bericht naar een endpoint zoals /cpc/api/task. Daarbij deelt hij informatie over het geïnfecteerde apparaat en de configuratieversie.
C2-logica: configuratie-updates en productId’s
De server stuurt niet altijd hetzelfde terug. Als de configuratie verouderd is, volgt er een geüpdatete configuratie met nieuwe C2-adressen en gewijzigde paden voor HTTP-verkeer.
Is een update niet nodig, dan antwoordt de C2 juist met integer command identifiers. In de analyse wordt uitgelegd dat aanvallers die identifiers gebruiken om commando-informatie te beheren. De trojan koppelt elke identifier aan command-details en slaat die vast als een geserialiseerde JSON-structuur via SharedPreferences.
Deze aanpak maakt het campagnebeheer flexibel. Zonder dat de app direct opnieuw geïnstalleerd hoeft te worden, kan de server taken uitrollen via commando’s.
Commando’s voor ad fraud en aanvullende modules
De malware ondersteunt negen soorten commando’s. Die kunnen variëren van het tonen van ongewenste advertenties en het uitvoeren van ad fraud, tot het downloaden en activeren van extra kwaadaardige modules.
Daarnaast kan het systeem uitgebreide apparaatgegevens verzamelen. Denk aan resolutie, apparaatmodel, het netwerk-ID van verbonden Wi‑Fi en zelfs het MAC-adres. Zulke gegevens zijn handig om gedrag te sturen of om slachtoffers te segmenteren.
- return: een waarde teruggeven uit SharedPreferences
- copy: inhoud naar het klembord zetten
- http: POST/GET HTTP-verkeer uitvoeren naar een opgegeven resource
- web: een link openen in WebView en JavaScript uitvoeren
- loadlib: niet volledig geïmplementeerd
- loadlib2: code downloaden en uitvoeren vanaf een URL
- loadlib3: niet volledig geïmplementeerd
- deeplink: een URL openen in de browser
- traceroute: resource-beschikbaarheid checken via ICMP ping
Waarom “zhima” relevant is
In de campagne worden met name de commando’s loadlib2 en http gebruikt om een module te downloaden die wordt aangeduid als zhima. Over zhima is eerder documentatie gedeeld door het Nokia Deepfield Emergency Response Team, waarbij ook wordt genoemd dat het via IPTV-apps kan worden geleverd en dat dit selectief voorkomt in de praktijk.
De koppeling met IPTV-apps is extra zorgwekkend omdat goedkope Android TV-boxen een bekende ingang kunnen zijn voor proxy-functionaliteit. Dat maakt het risico groter dan alleen “advertenties”: het kan ook bijdragen aan het opzetten van een infrastructuur die als proxy botnet kan fungeren.
Toeschrijving: MoYu Group en BADBOX
De activiteit wordt met hoge zekerheid toegeschreven aan de MoYu Group. Die groep werd vorig jaar eerder genoemd door HUMAN Satori Threat Intelligence and Research in verband met een bredere ad-fraud- en residentiële proxy-aanpak die bekend staat als BADBOX.
In juli 2025 diende Google volgens de melding een rechtszaak in tegen 25 onbekende personen of entiteiten in China. De beschuldiging betrof het opereren van het BADBOX-botnet en bijbehorende infrastructuur.
Ondanks die inspanningen geven onderzoekers aan dat individuele actoren die aan BADBOX zijn gekoppeld doorgaan met kwaadwillige activiteiten. Ze infecteren volgens de analyse apparaten wereldwijd.
Wat betekent dit voor beveiliging van automotive software?
Dit geval wordt beschreven als een eerste gedocumenteerde app die specifiek is gebouwd voor het infecteren van car head units, met een keten die expliciet op dit type toestel is toegesneden. Daarmee is het een waarschuwing: moderne automotive platforms hebben nood aan stevige beveiliging tegen malware die zich via software distributiekanalen naar binnen werkt.
Het misbruik van een legitieme systeemupdate is daarbij een terugkerend patroon: als aanvallers de distributie “vertrouwen” kunnen laten lijken op een normale update, krijgen ze een route naar ingebouwde systemen. Dat onderstreept ook het belang van het monitoren en valideren van updatepaden, maar ook van het beperken van mogelijkheden voor dynamische code- of module-downloads.
Gerelateerde aandachtspunten voor organisaties
Hoewel dit artikel over automotive head units gaat, is de kern breder toepasbaar: kwetsbare distributielogica en achteraf ingeperkte detectie zorgen ervoor dat malware in de praktijk sneller door kan dringen. Als je kijkt naar andere incidenten rond update- of installatieketens, zie je vergelijkbare aandachtspunten terug.
Zo is het bijvoorbeeld nuttig om ook te blijven volgen hoe aanvallen beveiligingscomponenten misbruiken, zoals in cases rond sabotage via eigen onderdelen van Microsoft Defender. En wanneer je denkt aan aanvallen die draaien om dataverzameling en controlekanalen, kan het helpen om te weten hoe Wazuh AI gebruikt kan worden om sneller te reageren op signalen in een SOC.
Conclusie
De melding rond Android car malware laat zien hoe kwaadwillenden het “vertrouwde” karakter van systeemupdates kunnen misbruiken om head units te infecteren. Via TWCore en de misbruikte updateroute wordt een keten opgestart die uiteindelijk een achtergrondapp levert voor ad fraud en mogelijk proxy botnet-activiteiten.
Voor leveranciers en beheerders is dit een duidelijke oproep om updateprocessen streng te controleren, detectie op afwijkend gedrag te verbeteren en dynamische component-loading niet als vanzelfsprekend te vertrouwen. Met die basis kan je voorkomen dat een legitieme functie verandert in een perfecte leveringsweg voor malware.
Bron: https://thehackernews.com/2026/08/android-car-malware-spreads-through.html
