Premier malware Android pour autoradios : botnet proxy MoYu

Kaspersky documente le premier malware Android conçu spécifiquement pour les systèmes d'infodivertissement automobiles

Le laboratoire de recherche Securelist de Kaspersky a publié le 22 août 2026 une analyse détaillée d'une campagne de malware inédite qui marque une première dans le paysage des menaces : il s'agit du premier cas documenté d'une chaîne d'infection spécifiquement conçue pour cibler les systèmes d'infodivertissement et de navigation des voitures, communément appelés "head units" ou autoradios, fonctionnant sous Android. La découverte, réalisée par le chercheur Dmitry Kalinin de Kaspersky, a été initiée en juin 2026 lors de la surveillance de la télémétrie Android de la société.

Ce qui a attiré l'attention du chercheur est une application Android inhabituelle, nommée JarService, qui s'installait sur des appareils comme une application normale mais ne présentait aucune interface utilisateur et ne cherchait pas à se faire passer pour un logiciel légitime. Ces caractéristiques indiquaient clairement que les utilisateurs n'installaient pas eux-mêmes ce logiciel volontairement. L'investigation qui a suivi a révélé une chaîne d'infection sophistiquée exploitant des composants logiciels légitimes présents sur ces appareils depuis leur fabrication.

Le vecteur d'infection principal repose sur l'architecture du firmware DoFun, une solution logicielle embarquée que l'on retrouve sur de nombreux autoradios Android de marques tierces vendus en ligne à des prix attractifs. Ce firmware intègre une application nommée TWCore, officiellement présentée comme un outil d'analytics et de mise à jour logicielle. Kaspersky a déterminé que TWCore peut être utilisée pour télécharger et installer des logiciels supplémentaires depuis des serveurs distants contrôlés par les opérateurs du firmware — un mécanisme de mise à jour légitime en apparence, mais détourné à des fins malveillantes par le groupe MoYu.

Via ce mécanisme, les appareils infectés reçoivent deux composants malveillants distincts. Le premier, nommé Zhima, transforme l'autoradio en proxy résidentiel inverse : il permet à d'autres machines d'envoyer leur trafic internet via la connexion de l'appareil infecté, masquant ainsi l'origine réelle de ce trafic. Kaspersky a établi des liens entre Zhima et deux services de proxy résidentiel commerciaux, PXYEDGE et ProxyForU, dont les opérateurs font partie de l'écosystème MoYu Group. Le second composant est dédié à la fraude publicitaire : il génère des impressions et des clics publicitaires frauduleux en arrière-plan, invisibles pour le propriétaire du véhicule, mais générant des revenus illicites pour les opérateurs du botnet.

L'attribution au groupe MoYu repose sur plusieurs éléments techniques et comportementaux. Ce groupe est déjà connu pour être associé à BadBox, l'un des écosystèmes de botnet les plus prolifiques ciblant les appareils Android grand public depuis plusieurs années. BadBox avait déjà compromis des télévisions connectées, des boîtiers multimédia et des tablettes, souvent en injectant du malware directement dans des firmwares distribués via des canaux non officiels. L'extension aux autoradios automobiles représente une évolution naturelle pour des acteurs qui maîtrisent parfaitement les mécanismes des firmwares Android embarqués sur appareils à faible coût.

L'ampleur précise de la campagne n'a pas été quantifiée par Kaspersky dans sa publication initiale. Cependant, le marché mondial des autoradios Android de marques tierces est considérable : des dizaines de millions d'appareils sont vendus chaque année, principalement via des plateformes e-commerce, souvent sous des marques inconnues ou des marques maison des distributeurs. Ces appareils fonctionnent sur des firmwares non certifiés, dont la chaîne d'approvisionnement logicielle est rarement auditée. Le firmware DoFun identifié dans cette campagne n'est qu'un exemple parmi une multitude de solutions similaires présentant des risques analogues.

Du point de vue de l'utilisateur, la compromission est totalement silencieuse. L'autoradio continue de fonctionner normalement — navigation, musique, appels mains libres — sans aucun signe apparent d'infection. Seule une analyse du trafic réseau ou une inspection technique du firmware peut révéler la présence des composants malveillants. La connexion permanente de ces appareils à internet via les smartphones des occupants du véhicule ou via des cartes SIM intégrées fournit la bande passante nécessaire aux opérations du botnet proxy et aux activités de fraude publicitaire.

Kaspersky a notifié les fournisseurs concernés de ses découvertes. À la date de publication, aucune réponse officielle des fabricants n'avait été communiquée. L'absence d'un mécanisme de mise à jour sécurisé et signé cryptographiquement pour ces appareils — contrairement aux mises à jour Android certifiées par Google sur les appareils grand public — rend la correction et la distribution de correctifs particulièrement complexe pour les utilisateurs finaux, selon l'analyse publiée sur Securelist et relayée par BleepingComputer et The Hacker News.

La sécurité de l'IoT automobile : un angle mort persistant malgré la généralisation des véhicules connectés

Cette découverte met en lumière une problématique de sécurité croissante à l'intersection de l'automobile et de l'informatique grand public. Les autoradios Android tiers, commercialisés à des prix allant de 50 à 300 euros sur les grandes plateformes e-commerce mondiales, sont devenus extrêmement populaires pour moderniser les systèmes d'infodivertissement des véhicules. Ils offrent des fonctionnalités attractives — Android Auto, GPS intégré, streaming musical, appels mains libres — mais au prix d'une sécurité logicielle très souvent négligée. Ces appareils ne sont soumis à aucune certification de sécurité spécifique, et leurs firmwares propriétaires ne bénéficient pas des garanties de la chaîne d'approvisionnement des constructeurs automobiles ou de la certification Android de Google.

La menace BadBox était déjà bien documentée dans le contexte des téléviseurs connectés et des boîtiers Android TV. En 2023, des chercheurs avaient révélé que des millions d'appareils Android vendus sous des marques distribuées principalement en ligne étaient livrés avec des backdoors préinstallées à des fins de fraude publicitaire et de proxy résidentiel. En 2024, une opération coordonnée avait conduit au démantèlement partiel de l'infrastructure BadBox, mais l'écosystème s'est rapidement reconstitué avec de nouveaux acteurs et de nouvelles cibles. L'extension aux autoradios automobiles démontre la résilience et la capacité d'adaptation du groupe MoYu.

Pour les entreprises, la menace est directe et souvent sous-estimée. De nombreuses flottes d'entreprise équipent leurs véhicules professionnels d'autoradios Android tiers pour des raisons économiques. Ces appareils se connectent aux smartphones des employés, peuvent accéder aux données de l'annuaire téléphonique et de la messagerie via Bluetooth, et sont reliés aux réseaux Wi-Fi des garages ou des parkings d'entreprise. Un autoradio compromis faisant partie d'un botnet proxy peut potentiellement servir de point de pivot pour des activités malveillantes dirigées contre le réseau d'entreprise, ou exposer des données sensibles accessibles via les connexions smartphone.

Du point de vue réglementaire, cette menace arrive dans un contexte d'élaboration de nouveaux cadres de sécurité pour l'IoT en Europe. Le Cyber Resilience Act (CRA), adopté en Europe en 2024 et progressivement applicable à partir de 2027, imposera des exigences de sécurité significatives aux fabricants de produits connectés, incluant des obligations de mise à jour de sécurité pendant toute la durée de vie du produit et la gestion des vulnérabilités. Les autoradios Android tiers distribués via des canaux informels seront potentiellement soumis à ce cadre — mais son application aux produits fabriqués hors de l'UE et distribués en ligne représente un défi réglementaire majeur. Le CRA pourrait néanmoins inciter les distributeurs européens à exiger des garanties de sécurité de leurs fournisseurs asiatiques, modifiant progressivement les pratiques du marché.

Ce qu'il faut retenir

• Kaspersky a documenté le premier malware spécialement conçu pour compromettre les autoradios Android via leur mécanisme de mise à jour du firmware, attribué au groupe MoYu lié à l'écosystème BadBox, transformant les appareils en proxy résidentiels et vecteurs de fraude publicitaire.
• Les autoradios Android de marques tierces non certifiées sont particulièrement vulnérables : leurs firmwares propriétaires ne bénéficient d'aucune garantie de sécurité de la chaîne d'approvisionnement logicielle, et la compromission est totalement invisible pour l'utilisateur.
• Évitez les autoradios Android de marques inconnues achetés sur les marketplaces e-commerce ; pour les flottes d'entreprise, auditez les appareils existants et isolez-les des réseaux Wi-Fi internes tant qu'une évaluation de sécurité n'a pas été réalisée.