Android車載端末の正規更新機能を悪用したマルウェアが確認される 広告詐欺やボットネット構築が目的
要点
- カスペルスキーは、DoFun社製ファームウェアを搭載したAndroid車載ヘッドユニットを標的とする新種のマルウェアを発見した。
- マルウェアは端末に備わっている正規のソフトウェア更新機能を悪用して配信され、車載機特有の感染経路を持つ初の事例とされる。
- 感染後は画面を持たずにバックグラウンドで動作し、広告詐欺の実行やプロキシボットネットの構築を行う。
- 攻撃への関与が疑われているのは、過去に大規模ボットネット「BADBOX」に関与したとされるサイバー犯罪組織「MoYu Group」である。
- 悪用されたソフトウェア配信の仕組みについては、セキュリティ機関への報告を経てすでに対処が完了している。
車載情報機器の正規アップデート機能を悪用し、Android搭載端末へ不正なプログラムを送り込むサイバー攻撃が確認されました。セキュリティ企業であるカスペルスキー（Kaspersky）の研究者が2026年6月に発見し、詳細を報告しています。車載ヘッドユニット特有の感染経路を持つマルウェアとしては、記録上初めての事例になると説明されています。
正規システムアプリ「TWCore」を悪用した侵入経路
今回の攻撃対象となったのは、DoFun社が開発したファームウェアを搭載する複数のAndroid車載ヘッドユニット（ナビゲーションやオーディオなどのマルチメディア機能と車両の一部制御を統合した車載機器）です。
調査によると、端末内にあらかじめ組み込まれている正規のシステムアプリ「TWCore（パッケージ名: com.tw.core）」が悪用されていました。TWCoreは端末の利用状況などのデータを収集し、ソフトウェアを更新するために用意されているアプリです。このアプリは「cardoor[.]cn」のサブドメイン上に構築されたMQTT（IoT機器などで広く使われる軽量な通信規格）メッセージブローカーを介して更新用のAPKファイル（Android用アプリのパッケージ形式）を取得し、端末内のキャッシュ領域へダウンロードしてインストールする仕様になっていました。
攻撃者はこの更新チャネルを悪用することで、外部からの検知を回避しながら「JarService」と呼ばれるドロッパー（後続の不正プログラムを端末内に展開・実行させるプログラム）を直接ヘッドユニットへ送り込んでいました。
多段階でのプログラム読み込みと潜伏処理
侵入に成功したJarServiceはローダーを起動し、段階的に攻撃を展開します。まず、HTTP POSTリクエストを通じて攻撃者が管理するサーバーへ端末情報を送信します。これに対してサーバー側は、次に読み込む不正プログラム（ペイロード）のダウンロード用リンクを返答します。
この通信で取得されるファイル名には「dex3.68」のようにバージョン番号が含まれていました。カスペルスキーが異なるバージョン番号を試行したところ、「3.57」まで遡る計7種類の亜種が確認されており、継続的に開発や改良が行われていた実態が判明しています。
最終的に端末へ配置される不正プログラムは、一般的なユーザー向けアプリケーションと同じ形式でインストールされます。ただし、画面上にユーザーインターフェース（UI）を表示することはなく、利用者に気づかれないようバックグラウンドで隠密に動作し続けます。
9種類の遠隔コマンドとボットネットの形成
感染した端末は、標準設定で90分ごとにC2サーバー（感染端末に遠隔指示を出す指令サーバー）のエンドポイントへPOSTリクエストを送信するよう構成されていました。この定期通信では、感染した端末の情報や設定バージョンが送信されます。
サーバー側は、端末の設定が古い場合には新しい接続先アドレスなどを含む最新設定を返し、更新が不要な場合には整数値で構成されたコマンド識別子を返します。マルウェアはこの識別子を命令情報に対応させ、Androidの設定保存機能であるSharedPreferences APIを用いてJSON形式で端末内に保存します。
マルウェアには計9種類の遠隔操作コマンドが組み込まれており、不要な広告の表示、広告詐欺の実行、追加モジュールのダウンロード、さらには詳細な端末情報の収集などを行うことが可能です。最終的な目的は、多段階のダウンローダーを通じて広告詐欺を実行し、インターネット接続を不正に中継するプロキシボットネットを構築することにあると分析されています。
攻撃者の背景と現在の状況
カスペルスキーは、一連の攻撃活動の背後に「MoYu Group」と呼ばれるグループが存在している可能性が極めて高いと指摘しています。このグループは、過去に「BADBOX」と呼ばれる大規模な広告詐欺および住宅用プロキシネットワークを構築したことで知られています。BADBOXを巡っては、2025年に脅威インテリジェンスチーム「HUMAN Satori」が活動を告発したほか、同年7月にはGoogleがボットネットの運用に関与したとされる中国の25の個人や法人を相手取って提訴を行っていました。
車載ヘッドユニットは、工場出荷時に搭載されるものだけでなく、旧型車両への後付け機器としても普及が進んでいます。こうした機器はナビゲーションや通信のためにSIMカードスロットを備えて常時インターネットに接続されていることが多く、標準的なAndroidアプリがそのまま動作する環境であることから、攻撃者にとって格好の標的になりつつあります。
なお、今回の問題については、発見後に適切な報告手順（責任ある開示）が行われたことで、悪用されていたソフトウェア配信の仕組みに対する修正と対策がすでに完了していると報告されています。