自動車のヘッドユニット狙う新型Androidマルウェア発見、アドフラウドとボットネット構築が目的
2026年6月、Kasperskyが自動車向けAndroidヘッドユニットのファームウェア更新プログラムを通じて拡散する多段階型のAndroidマルウェアダウンローダーを発見した。マルウェアはユーザーインターフェースを持たず、アドフラウドとプロキシボットネットの構築を目的としており、この種デバイス特有の感染チェーンを持つ車載ヘッドユニット上でのマルウェア発見は初の事例である。
感染経路と技術的構造
このマルウェアはDoFun社製ヘッドユニットの組み込み更新機能を通じて拡散する。正規システムアプリケーションである「TWCore」がアナリティクスデータ収集とソフトウェア更新を担当する領域を悪用されている。感染の第1段階では、正規の更新プロセスに偽装したダウンローダーが活動し、第2段階のローダーが <TWCore external cache dir>/push/apk/ ディレクトリにAPKファイルをダウンロードする。第2段階のローダーは「mosdk-host-loader」という名称のスレッドを作成し、攻撃者のサーバーへPOST要求でマルウェア情報を送信する。その後、C2サーバーは第3段階ペイロードのダウンロードリンクを返信する。
第1段階のドロッパーは「JarService」と呼ばれるUIなしの小型アプリケーションで、暗号化されたデータブロックを単一バイト鍵を使用したXOR暗号化で保護している。この鍵は線形にシフトしながら適用される。第3段階ペイロードは7つの異なるバリアント（バージョン3.57～3.82）が確認され、バージョン3.57は異なるデコーディングアルゴリズムを採用していた。第3段階マルウェアはデフォルトで90分間隔で /cpc/api/task へPOST要求を送信し、研究時点で攻撃者は9つのコマンドを実装していた。
リバースプロキシモジュールと国際的な展開
第3段階ペイロードには「zhima」と呼ばれるリバースプロキシモジュールが含まれている。このモジュールはNokia Deepfield Emergency Response Teamが同時期にテレビセットトップボックス上で独立して発見した同一のコンポーネントであり、8つのバリアントが確認されている。セットトップボックスには「AdmoyuService」というサービスを含むパッケージ「com.abc.nexus」がインストールされており、これはJarService同様のドロッパーを起動していた。
zhimaの管理パネルは admin.uipoxy[.]com/proxy/u/login にホストされ、有効な招待コードがあれば誰でも登録可能である。登録ページには「copyright © 2020 proxyforu[.]com all rights reserved」という文字列が記載されており、またMQTTメッセージブローカーは cardoor[.]cn のサブドメインにホストされている。ドメイン admin.uipoxy[.]com はIP 128.14.210[.]58 に解決された。PXYEDGE と ProxyForU はいずれも住宅用プロキシサービスの提供企業である。
犯人特定と影響範囲
Kasperskyはこの活動を、高い信頼度をもってMoYu Groupに帰属させた。MoYu GroupはBADBOX botnetと関連する既知の攻撃グループである。マルウェアはKasperskyの以下の検出ルール名で検出される：HEUR:Trojan-Dropper.AndroidOS.Agent.vu、HEUR:Trojan-Downloader.AndroidOS.Agent.ov、HEUR:Trojan-Proxy.AndroidOS.Zhima.、HEUR:Trojan.AndroidOS.Vo1d.。DoFun社ベンダーへの通知後、セキュリティ上の問題が修正された。なお、BADBOX botnetに関連する個々の攻撃者による悪意のある活動が継続し、世界中のデバイスに感染している、と報じられている。
筆者の見立て
- 攻撃者がマルウェアをユーザーの知識なしにデバイスに到達させた可能性を示唆している。
- 攻撃者が新しいプラットフォームへの拡大を積極的に進めていると解釈している。
- これらプラットフォームはマルウェアからの保護が今後必要になる可能性を示唆している。
この記事は元記事の事実のみに基づいて自動生成されました。
出典
Kaspersky、「The invisible passenger in your car」、https://securelist.com/android-head-unit-malware/121106/