Des chercheurs de Kaspersky ont mis au jour ce qui ressemblerait à une première : un malware unités tête voiture conçu spécifiquement pour les systèmes d’infodivertissement installés dans des véhicules. L’attaque vise des unités tête alimentées par Android, souvent utilisées comme équipement de rechange après-vente.
Cette découverte attire l’attention sur une évolution inquiétante des menaces : des acteurs malveillants ne se limitent plus à des téléphones ou des appareils grand public, mais utilisent aussi des plateformes embarquées pour étendre leurs capacités—notamment via des mécanismes de botnets.
Un malware ciblant l’infodivertissement Android
Selon les informations publiées, le malware a été repéré sur un système d’infodivertissement Android d’après-vente fabriqué par une entreprise chinoise, DoFun. Le produit est largement employé en Chine et dans plusieurs pays d’Asie-Pacifique.
Le point clé, d’après les analystes, est la spécialisation : le code a été pensé pour s’exécuter sur ces unités tête et s’insérer dans leur fonctionnement, ce qui augmente le risque pour les conducteurs et les intégrateurs.
La faille dans le système de mises à jour
Les chercheurs indiquent que les attaquants ont exploité une faiblesse liée à un composant chargé de gérer les mises à jour. L’objectif était de livrer le malware aux unités tête du véhicule via la procédure de mise à jour.
Le fournisseur aurait répondu en corrigeant la vulnérabilité après avoir été notifié. Malgré cela, la présence d’une faille dans un mécanisme aussi critique montre à quel point les chaînes de distribution logicielle restent un terrain de jeu privilégié pour les cybercriminels.
Une chaîne d’attaque construite pour la discrétion
Au lieu de diffuser directement une application malveillante « complète », les acteurs auraient compromis le canal de distribution des mises à jour. Ils auraient ainsi injecté des applications Android conçues pour agir comme briques successives : dropper, loader, composant d’automatisation de clic, puis modules de type reverse proxy.
Cette approche modulaire sert souvent deux buts : d’une part, rendre l’analyse plus difficile ; d’autre part, adapter le comportement de la charge utile à l’objectif opérationnel des attaquants.
Commandes malveillantes : publicité, fraude et extension
D’après Kaspersky, le malware accepte neuf commandes. Parmi elles, des capacités visant à :
- afficher des publicités sur l’appareil ;
- participer à la fraude publicitaire via un composant « clicker » ;
- télécharger des composants additionnels pour étendre la fonctionnalité du système compromis.
Autrement dit, la menace ne se limite pas à une présence furtive : elle peut aussi générer des gains via des schémas de publicité trompeuse, tout en préparant l’installation de modules supplémentaires.
Le véritable objectif semble être un botnet proxy
Un élément important ressort des observations : les chercheurs n’auraient constaté que des commandes permettant de télécharger un module de reverse proxy. Ce constat suggère fortement que l’ambition principale n’était pas seulement l’affichage de contenu, mais la mise en place—ou l’alimentation—d’un proxy botnet.
Dans ce type de configuration, des appareils compromis peuvent être utilisés comme relais pour acheminer du trafic, masquer l’origine des opérations ou faciliter d’autres activités malveillantes.
Lien possible avec MoYu et le botnet BadBox
En poursuivant l’analyse, Kaspersky affirme avoir des raisons de croire que le malware serait l’œuvre du MoYu Group, une entité déjà associée à la création et au fonctionnement du botnet BadBox.
BadBox existe au moins depuis 2023. Les chercheurs décrivent son usage comme suit : exploitation d’appareils Android compromis, puis utilisation de ces appareils pour des opérations de fraude et d’autres activités illégales.
BadBox 2.0 et la cible “appareils Android”
Les autorités et acteurs de l’écosystème ont tenté de perturber la plateforme, mais l’ampleur de la menace semble avoir augmenté. Par exemple, Google a engagé une procédure en justice contre les opérateurs de « BadBox 2.0 », en alertant sur le fait que le botnet aurait attiré plus de 10 millions d’appareils Android.
D’après les informations rapportées, ces appareils étaient principalement des boîtiers TV. Cela rend d’autant plus marquant le virage vers des unités tête de voiture : la diversification des vecteurs de diffusion montre que le modèle d’attaque gagne en maturité.
Pourquoi les systèmes embarqués changent la donne
Les logiciels malveillants liés à BadBox étaient souvent associés à des appareils d’entrée de gamme. Toutefois, les attaques visant l’infodivertissement automobile indiquent que les opérateurs cherchent maintenant à étendre leurs méthodes de livraison et leurs cibles.
Pour les propriétaires de véhicules et les intégrateurs, cela implique une vigilance accrue autour de trois aspects : les mises à jour, la provenance des applications installées et la surface de confiance autour des composants système.
Ce que les conducteurs et les intégrateurs peuvent surveiller
Sans prétendre à une marche à suivre universelle (les modèles et fabricants diffèrent), la logique de l’attaque donne des repères concrets. Voici des points de vigilance utiles :
- Mettre à jour l’équipement dès qu’un correctif est publié, en privilégiant les canaux officiels du fournisseur.
- Contrôler les processus de mise à jour : tout comportement anormal autour d’un installateur ou d’une mise à jour mérite d’être vérifié.
- Réduire l’exposition des appareils connectés : limiter l’installation d’applications non nécessaires, surtout si elles proviennent de sources non vérifiées.
- Surveiller des signes comme des publicités inattendues ou des activités réseau inhabituelles, qui peuvent être des symptômes d’une composante de type clicker/proxy.
Ces mesures ne garantissent pas à elles seules une absence totale de risque, mais elles diminuent la probabilité qu’une chaîne d’infection basée sur la mise à jour réussisse à s’exécuter.
Une menace qui s’étend au-delà de la “simple” fraude
Cette affaire souligne une réalité : un malware peut combiner des fonctions différentes—publicité, fraude publicitaire et infrastructure réseau—pour servir un objectif plus large. Dans ce cas précis, même si le code prévoit des actions variées, le comportement observé semble orienter l’infection vers la constitution d’un proxy botnet.
En parallèle, le lien supposé avec BadBox montre que des groupes déjà actifs dans l’écosystème Android continuent de chercher de nouveaux points d’entrée. Les systèmes d’infodivertissement deviennent alors une cible crédible, car ils reçoivent des mises à jour et hébergent des applications dans un environnement semi-contrôlé.
Conclusion : mieux protéger les chaînes de mise à jour
Le malware unités tête voiture identifié par Kaspersky rappelle que les menaces modernes privilégient les mécanismes de distribution, en particulier les mises à jour logicielles. En compromettant la chaîne de déploiement, les attaquants peuvent introduire des charges utiles discrètes et adaptées au matériel ciblé.
Pour réduire l’impact, la meilleure stratégie reste de renforcer la confiance autour des mises à jour, d’agir rapidement dès qu’un correctif est disponible et de maintenir une hygiène logicielle stricte sur les appareils connectés. Dans un monde où la technologie embarquée se généralise, la sécurité ne peut plus être une réflexion après coup.
Source: https://www.securityweek.com/first-malware-built-specifically-for-car-head-units-fuels-botnet/
