Kaspersky发现首宗针对汽车中控主机的恶意软件攻击　Android车机更新机制成为感染入口

恶意软件通过车机系统更新机制分阶段植入，在后台执行广告欺诈及下载其他恶意模块；Kaspersky认为相关活动可能与BadBox僵尸网络关联的MoYu Group有关。

吉隆坡，2026年9月29日 —— 网络安全公司Kaspersky日前发现一项针对**汽车Head Unit（中控主机）**的新型Android恶意软件活动。该公司表示，这是目前首宗有记录、专门针对汽车中控主机，并通过为车辆系统量身定制的感染链进行传播的恶意软件案例。

Kaspersky于2026年6月发现相关活动。攻击者利用车机原有的软件更新机制，将多阶段恶意软件秘密安装到Android车机系统中，主要用于广告欺诈（ad fraud）以及执行其他恶意活动。研究人员认为，该活动可能与MoYu Group有关，而后者被认为与BadBox僵尸网络存在关联。

现代汽车的Head Unit已经不只是传统的收音机或娱乐系统。许多车辆采用Android作为车机操作系统，用于运行多媒体、导航、联网服务以及部分车辆控制功能。

由于Android系统具有较高的应用兼容性，普通Android应用甚至恶意软件都可能在这些设备上运行。

虽然汽车中控主机通常不会储存大量敏感个人资料，但不少设备配备SIM卡，并持续连接互联网，以支持导航及软件更新。这种持续联网的特性，也让车机成为潜在的网络攻击目标。

此次攻击最值得关注的地方，是攻击者并没有简单要求车主下载可疑应用，而是利用了车机本身的软件更新机制。

Kaspersky发现，恶意软件通过多个采用Android系统、由DoFun提供平台的车机型号内置固件更新机制进行传播。Kaspersky已经向相关供应商通报软件分发机制遭滥用的问题，而DoFun方面表示相关问题已经修复。

整个感染过程从一个名为TWCore的合法系统应用开始。

TWCore原本负责收集分析数据以及执行车机软件更新，并会从制造商服务器接收指令，确定车机需要安装或更新哪些应用。

攻击者正是利用这一正常的软件更新渠道，通过名为JarService的Dropper（下载器／投放器）将此前未知的恶意软件直接送入车机。

整个过程采用多阶段设计，并试图降低被发现的机会。恶意软件安装后会以普通用户应用的形式存在，但没有用户界面，因此能够在后台运行，车主通常不会察觉。

Kaspersky研究人员发现，这套恶意软件至少具备9项不同指令，其中包括显示不需要的广告、执行广告欺诈，以及下载更多恶意模块。

攻击者同时能够获取部分车机设备信息，包括：

屏幕分辨率、设备型号、所连接Wi-Fi网络的识别信息，以及设备MAC地址。

这意味着攻击者并不只是单纯让车机显示广告，而是可以进一步利用受感染设备执行其他恶意操作，并持续向系统植入额外模块。

Kaspersky进一步将此次汽车中控主机攻击活动与MoYu Group联系起来。

研究人员通过将此次攻击与过去针对电视机顶盒的攻击进行比较，发现两者之间存在关联。同时，该僵尸网络的管理面板也出现了一些与住宅代理服务网站PXYEDGE及ProxyForU相似的技术痕迹，例如网页代码中出现的嵌入式URL。

BadBox本身是一个大规模Android设备僵尸网络，受感染设备包括串流电视盒、手机及平板电脑等。一些设备甚至可能在出厂时就已经带有恶意软件。

攻击者可以利用隐藏后门进行广告欺诈、窃取数据，并将家庭网络设备转变为非法代理流量中继。

Kaspersky安全研究员Dmitry Kalinin指出，尽管网络安全专家及执法机构一直尝试打击BadBox僵尸网络，但相关个体仍持续进行恶意活动，而恶意软件的传播方式也越来越多样化。

从预装后门，到被入侵的IPTV应用，再到这次利用合法系统软件更新功能进行传播，攻击者正在寻找新的平台。

Kaspersky认为，此次发现尤其值得关注，因为这是首个通过专门针对汽车中控主机设计的感染链传播的恶意应用案例，也显示现代汽车平台需要更加完善的恶意软件防护。

过去消费者谈论汽车网络安全，更多集中在车辆是否能够被远程控制、车钥匙是否容易遭破解等问题。

这次Kaspersky发现的案例则显示，汽车中控娱乐系统本身也可能成为网络攻击入口。

随着Android车机、联网导航、OTA更新、应用商店以及各种在线服务越来越普遍，汽车实际上已经逐渐成为一个具备复杂软件生态的联网终端。

此次事件并不意味着所有Android车机都已经受到感染，而是提醒汽车制造商、车机供应商及消费者：车机软件更新机制本身同样需要严格的安全验证与供应链保护。

对于车主而言，未来选择车辆时，除了关注屏幕尺寸、语音助手及联网功能，车机软件的更新来源、系统安全机制及厂商对漏洞的响应能力，也将逐渐成为智能汽车时代不可忽视的一环。