🔍 Contexte

Publié le 21 août 2026 par Kaspersky (Securelist), cet article présente la découverte en juin 2026 d’un nouveau malware Android ciblant des autoradios embarqués (head units) de marque DoFun. Il s’agit du premier cas documenté de malware spécifiquement conçu pour ce type de dispositif.

🎯 Vecteur d’infection

Le malware est distribué via TWCore (com.tw.core), une application système légitime responsable des mises à jour du firmware. TWCore reçoit des instructions via un broker MQTT hébergé sur cardoor[.]cn, qui lui ordonne de télécharger et d’installer des APK malveillants. Le champ installNotExists permet l’installation d’applications absentes du dispositif à l’origine.

🔗 Chaîne d’infection multi-étapes

  • Stage 1 – JarService (dropper) : Application sans interface utilisateur, déchiffre des blocs XOR pour charger le payload suivant.
  • Stage 2 – Loader : Envoie des informations sur l’implant au C2 via POST, reçoit en retour un lien de téléchargement pour le stage 3. Thread nommé mosdk-host-loader.
  • Stage 3 – Clicker / Reverse proxy loader : Contacte le C2 toutes les 90 minutes, reçoit des commandes (loadlib2, http, web, deeplink, traceroute, etc.), télécharge et exécute le module zhima (proxy inversé).

🛠️ Capacités malveillantes

  • Fraude publicitaire (clicker, ouverture de WebView avec JavaScript arbitraire)
  • Création d’un botnet proxy résidentiel via le module zhima
  • Téléchargement et exécution de code arbitraire (loadlib2)
  • Exfiltration d’informations (résolution d’écran, modèle, SSID Wi-Fi, adresse MAC)

🕵️ Attribution

L’activité est attribuée avec haute confiance au groupe MoYu, un acteur lié à la plateforme malveillante BADBOX. Éléments d’attribution :

  • Thread nommé mosdk-host-loader dans le loader stage 2
  • Service AdmoyuService dans une app malveillante connexe (com.abc.nexus)
  • Chevauchement d’infrastructure réseau avec MoYu Group (confirmé indépendamment par Nokia Deepfield ERT)
  • Liens avec les services de proxies résidentiels PXYEDGE et ProxyForU via le panneau d’administration admin.uipoxy[.]com

📄 Type d’article

Publication de recherche technique détaillant une nouvelle chaîne d’infection, avec indicateurs de compromission complets et attribution à un acteur connu.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • MoYu Group (cybercriminal) —

TTP

  • T1195.002 — Compromise Software Supply Chain (Initial Access)
  • T1072 — Software Deployment Tools (Execution)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1102 — Web Service (Command and Control)
  • T1571 — Non-Standard Port (Command and Control)
  • T1090.002 — Proxy: External Proxy (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1082 — System Information Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1496 — Resource Hijacking (Impact)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 24 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • JarService (loader)
  • zhima (other)
  • BADBOX (botnet)
  • Vo1d (other)

🟢 Indice de vérification factuelle : 85/100 (haute)

  • ✅ securelist.com — source reconnue (liste interne) (20pts)
  • ✅ 20451 chars — texte complet (15pts)
  • ✅ 50 IOCs dont des hashes (15pts)
  • ✅ 5/9 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : MoYu Group (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 144.217.243.201 (ip) → VT (12/91 détections) + ThreatFox (BADBOX)
  • 107.151.248.132 (ip) → VT (3/91 détections)
  • 128.14.210.58 (ip) → VT (3/91 détections)
  • xmsae.sbs (domain) → VT (19/91 détections) + ThreatFox (BADBOX)
  • ishano456.sbs (domain) → VT (19/91 détections) + ThreatFox (BADBOX)

🔗 Source originale : https://securelist.com/android-head-unit-malware/121106/

🖴 Archive : https://web.archive.org/web/20260824003851/https://securelist.com/android-head-unit-malware/121106/