Menace silencieuse de malwares ciblant les systèmes Android de voiture
Le mois dernier, des chercheurs de Kaspersky ont identifié une campagne de malwares Android furtive qui transforme les systèmes d’infodivertissement des voitures en nœuds proxy anonymes pour des fraudes publicitaires. L’attaque exploite le mécanisme officiel de mise à jour des écrans de tête Android, installant un chargeur furtif qui évite la détection et intègre l’appareil au botnet BADBOX.
Une porte dérobée visible à l’œil nu
Les systèmes d’infodivertissement modernes des voitures fonctionnent sous Android pour des raisons de coût et de flexibilité, permettant aux fabricants de personnaliser la plateforme sans tout reconstruire. Mais cette commodité présente un angle mort : toute application compatible avec les smartphones peut techniquement s’exécuter sur un écran de tête, y compris des malwares. En juin 2026, Kaspersky a découvert une application Android sans interface utilisateur, installée comme n’importe quelle autre application mais conçue uniquement pour déchiffrer et charger les étapes malveillantes suivantes. La chaîne d’infection commence avec TWCore, une application légitime d’analytique et de mise à jour présente dans les écrans de tête de la marque DoFun. Les attaquants abusent du système de mise à jour basé sur MQTT de TWCore en inversant un indicateur de configuration appelé installNotExists, transformant un canal de mise à jour de firmware routinier en un pipeline d’installation silencieuse pour des APK arbitraires.
Du chargeur furtif au nœud de botnet
Le premier payload, JarService, agit comme un chargeur furtif minimal sans interface visible. Il déchiffre et charge un chargeur de deuxième niveau, qui contacte ensuite un serveur de commande, transmet les détails de l’appareil et récupère le payload final : un proxy inverse et un module de clics publicitaires frauduleux. Les chercheurs ont observé au moins sept versions de ce payload, suggérant que les attaquants améliorent constamment leurs outils. Une fois installé, le malware se signale toutes les 90 minutes, attendant des instructions pour générer des clics publicitaires frauduleux ou router le trafic via l’appareil compromis.
Pourquoi est-ce important ?
Il s’agit de la première malware documentée ciblant les écrans de tête des voitures, révélant une surface d’attaque critique dans les véhicules connectés. Bien que le payload semble axé sur la fraude publicitaire, la même chaîne d’infection pourrait livrer des charges plus dommageables, allant du vol de données au contrôle à distance des fonctions du véhicule. Les fabricants doivent renforcer leurs pipelines de mise à jour et auditer les applications système comme TWCore, tandis que les conducteurs doivent s’assurer que leurs systèmes d’infodivertissement exécutent le dernier firmware et éviter l’installation d’applications tierces. Cet épisode souligne comment la flexibilité de l’écosystème Android, combinée à des contrôles de mise à jour laxistes, peut transformer les systèmes de divertissement automobile en bots involontaires d’un réseau mondial.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.