車載Androidヘッドユニット、アップデートメカニズムを通じてマルウェアの標的に

佐々山 Tacos

2026.08.24

車載Androidヘッドユニット、アップデートメカニズムを通じてマルウェアの標的に

The Hacker News – Aug 21, 2026

Androitベースの車載ヘッドユニットファームウェアへ感染できるよう設計された新たなマルウェアファミリーを、カスペルスキーの研究者らが発見。このマルウェアは多段階のダウンローダーで、最終的に広告詐欺を実行したりプロキシボットネットを作成したりすることを目的にしているという。

ヘッドユニットとは、マルチメディア機能と、車両の特定の機能に対する一部の制御機能を組み合わせたシステムのこと。こうしたヘッドユニットは車両の純正装備として搭載されている場合もあれば、アフターマーケットでのアップグレードとして取り付けられる場合もある。

ヘッドユニットにはSIMカード挿入口が付いていることが多く、ここからインターネット接続を行うことでナビゲーションやソフトウェアのアップデートといった機能を利用できるようになっている。この点が攻撃者らの新たな標的になりつつあるが、ヘッドユニットにはネットバンキングのような高価値な情報が入っているわけではないため、考え得る主な攻撃シナリオの1つとしては、IoTデバイスへの攻撃同様、従来型のAndroidマルウェアへシステムを感染させてボットネットに引き入れる、というものが挙げられるという。

カスペルスキーによれば、こうしたマルウェアの配布手法はかなり多様化しつつあり、事前にインストールされたバックドアを使うものから、侵害されたIPTVアプリケーションを悪用するものなどさまざまだとされる。一方で今回発見されたマルウェアの配布手法は、システムアプリの正規のソフトウェアアップデート機能を悪用するという、より高度なものだった。具体的には、AndroidをベースとしたDoFun社製ヘッドユニットのファームウェアに内蔵されたアップデートメカニズムを介して、マルウェアが配布されていた。なお本件はベンダーへ通知済みであり、この悪用を可能にしたセキュリティ上の問題はすでに解消されているという。

問題のシステムアプリは、「TWCore（com.tw.core）」と呼ばれる正規のアプリ。アナリティクス情報を収集し、ヘッドユニットのソフトウェアをAPKファイルの形式でアップデートする役割を持つ。脅威アクターらは、このアップデート経路を悪用し、「JarService」と呼ばれるドロッパーを使ってヘッドユニットへ直接マルウェアを送り込んでいたとされる。

JarServiceによって起動されるローダーは、HTTP POSTリクエストを通じて攻撃者のサーバーへインプラント情報を送付。するとサーバーからは、次段階のペイロードをダウンロードするためのリンクが返される。その後、この攻撃チェーンはマルウェアが通常のユーザーアプリケーションとして展開されることで完了。ただし、このマルウェアにはユーザーインターフェースが存在せず、バックグラウンドで密かに動作することになる。

このマルウェアは、不要な広告を表示したり、広告詐欺を実行したり、追加の悪意のあるモジュールをダウンロードしたりできる9つのコマンドに対応しているとカスペルスキーは説明。加えて、攻撃者がディスプレイの解像度、端末モデル、接続中のWi-Fiネットワークの識別子、MACアドレスなど、端末に関する詳細な情報を取得することも可能にするとされる。

今回の攻撃キャンペーンについて、カスペルスキーは高い確度で「MoYu Group」によるものだろうと評価。同グループは昨年、HUMAN Satoriの脅威インテリジェンスリサーチチームによって、「BADBOX」と呼ばれる大規模な広告詐欺および住宅用プロキシ詐欺スキームへの関与が指摘されていた。また、2025年7月にはGoogleがBADBOXボットネットとそのインフラを運営していたとされる中国国内の25の個人または団体（名称未公表）に対し、訴訟を提起している。

カスペルスキーの研究者らは、このようにサイバーセキュリティ専門家や法執行機関がBADBOXボットネットをシャットダウンするための取り組みを行っている一方で、同ボットネットに結びつく個々の脅威アクターらは引き続き悪意ある活動を実行し、世界各地のデバイスを感染させている、と述べた。