voitures
En juin 2026, nous avons découvert un nouveau programme malveillant inhabituel ciblant… les autoradios fonctionnant sous Android. Il s’agit du premier cas avéré d’un programme malveillant introduit dans des autoradios via un service de mise à jour automatique du micrologiciel. Nous avons déjà abordé à plusieurs reprises le sujet des cyberincidents dans le secteur automobile, mais ceux-ci concernaient généralement soit des fuites de données au sein de l’infrastructure numérique des constructeurs, soit des expériences menées par des chercheurs en sécurité.
Cette affaire concerne toutefois un programme malveillant que des cybercriminels diffusent actuellement à grande échelle. Leurs objectifs sont la fraude publicitaire et la création d’un botnet proxy composé d’autoradios infectés. Dans cet article, nous expliquons ce qu’est un autoradio, comment les pirates informatiques parviennent à infecter ces appareils et quelles pourraient en être les conséquences pour les conducteurs.
Qu’est-ce qu’un autoradio ?
Commençons par définir ce qu’est exactement un autoradio. Ce terme peut sembler technique, mais en réalité, la plupart des conducteurs en utilisent un chaque fois qu’ils prennent le volant. Les autoradios constituent le système d’infodivertissement du véhicule. Ils disposent généralement d’un écran central permettant de contrôler la navigation, la musique et d’autres fonctionnalités du véhicule. Dans les véhicules modernes, les autoradios sont souvent connectés à Internet.
Les constructeurs utilisent souvent Android comme système d’exploitation pour leurs autoradios, notamment pour des raisons de simplicité. En effet, Android est conçu pour répondre aux besoins des autoradios, ce qui présente plusieurs avantages :
- nombreuses options de personnalisation de l’interface ;
- développement facile d’applications ;
- possibilité d’ajouter ses propres applications système et composants ;
- grand écosystème d’applications existant.
Cependant, ces mêmes avantages comportent également des risques, car les applications concernées peuvent s’avérer malveillantes plutôt que légitimes. Et c’est exactement ce qui s’est passé ici : à l’aide d’une application malveillante, des pirates ont intégré des voitures à un botnet. Voici comment…
Comment les pirates parviennent-ils à infecter les autoradios, et quels programmes malveillants utilisent-ils ?
Tout d’abord, il faut noter que ce programme malveillant n’attaque pas tous les autoradios, mais plus particulièrement ceux utilisant un logiciel développé par la société chinoise DoFun. L’entreprise développe des micrologiciels, des applications et des services dans le cloud pour les systèmes d’infodivertissement automobile basés sur Android et, d’après son site Internet, elle sert plus de 30 millions de propriétaires de véhicules dans le monde.
Pour introduire le programme malveillant dans le système d’infodivertissement d’un véhicule, les pirates utilisent TWCore, une application système légitime dédiée aux mises à jour logicielles des autoradios DoFun. Dans des conditions normales, TWCore récupère dans le cloud du développeur les informations relatives aux fichiers qui doivent être téléchargés et installés sur l’appareil. Il s’agit principalement de mises à jour pour les logiciels déjà installés sur les autoradios, mais ce même mécanisme peut être utilisé pour installer des applications entièrement nouvelles. Et c’est précisément ce dont tirent parti les pirates : ils utilisent TWCore pour installer JarService, un cheval de Troie malveillant compte-gouttes, sur les autoradios.
JarService est, à la base, une application » vide « . Autrement dit, elle ne comporte aucune interface utilisateur et ne cherche en aucune façon à se faire passer pour un service légitime. L’absence d’interface est tout à fait logique dans ce cas précis : les pirates n’ont pas besoin de convaincre l’utilisateur d’installer manuellement le programme malveillant, et aucune interaction de la part de l’utilisateur n’est requise.
Le code de JarService contient, sous forme chiffrée, la charge utile de l’étape suivante, ainsi que des informations sur sa version et son point d’entrée. Le rôle de JarService est de déchiffrer ces données et de lancer la phase suivante de l’infection : un programme de téléchargement malveillant. Une fois lancé, le programme de téléchargement se connecte au serveur de commande et de contrôle (C2) des pirates et lui envoie des informations sur le programme malveillant installé. En réponse, le serveur fournit un lien vers la charge utile de l’étape suivante. Le programme de téléchargement récupère la charge utile, la déchiffre, puis l’exécute.
Dans ce cas précis, le programme malveillant installe ce qu’on appelle un » clicker « , c’est-à-dire un type de programme malveillant utilisé pour gonfler frauduleusement le nombre d’impressions publicitaires. Une fois lancé, le programme malveillant contacte régulièrement le serveur C2 et lui envoie des informations sur l’appareil infecté, notamment son modèle, la résolution de son écran, son adresse MAC et les détails du réseau Wi-Fi auquel il est connecté. En retour, le programme malveillant peut recevoir diverses commandes de la part des pirates. Par exemple, il peut effectuer des requêtes HTTP et ouvrir des pages Internet. Mais surtout, il peut télécharger et exécuter du code malveillant supplémentaire sur le système d’infodivertissement du véhicule piraté.
Les pirates exploitent cette faille pour installer un module malveillant appelé zhima, qui intègre l’unité principale infectée à un botnet. Le botnet ainsi créé alimente ce qu’on appelle un service de proxy résidentiel, ce qui permet aux pirates de faire transiter leur trafic par des appareils infectés lorsqu’ils mènent des attaques ou d’autres activités malveillantes.
Qui se cache derrière ce programme malveillant, et quel est l’objectif des pirates ?
Les pirates infectent les autoradios avec des programmes malveillants principalement dans le but d’étendre leur botnet. Une enquête menée par les experts de Kaspersky a révélé que cette opération est liée à la plateforme malveillante BADBOX et, plus précisément, à l’un des acteurs malveillants qui y sont associés : le groupe MoYu. Des indices présents dans le code du programme malveillant, ainsi que des recoupements avec une infrastructure précédemment attribuée au groupe MoYu, laissent supposer que ce dernier est impliqué. BADBOX regroupe à lui seul toute une série d’activités malveillantes visant principalement à infecter des appareils Android et à exploiter secrètement leurs ressources.
Les pirates tirent ensuite profit de cette situation en monétisant l’accès à des ressources appartenant à d’autres personnes. En enquêtant sur l’infrastructure du botnet, nos experts ont découvert des liens entre le groupe MoYu et les services PXYEDGE et ProxyForU, qui proposent des services de proxy résidentiels. Ces services permettent à des clients du monde entier d’acheminer leur trafic Internet via des appareils connectés au botnet, et ainsi d’accéder à Internet en utilisant les adresses IP de ces appareils. Il semblerait donc que des autoradios infectés soient déjà utilisés dans le cadre de cette infrastructure.
Dans quelle mesure ce programme malveillant nuit-ils aux utilisateurs ?
Avant tout, ce programme malveillant mobilise une partie des ressources de calcul de l’autoradio. Cette charge supplémentaire peut ralentir le système d’infodivertissement du véhicule ou nuire à sa stabilité. Par ailleurs, il est très probable que la vitesse de connexion Internet de l’appareil infecté diminue, car les pirates sont susceptibles de faire transiter un volume important de trafic par celui-ci.
Il convient également de noter que les capacités de ce programme malveillant ne se limitent pas à la fonctionnalité de proxy. Il est capable de recevoir des commandes des pirates, ainsi que de télécharger et d’exécuter du code malveillant supplémentaire. Par conséquent, les conséquences d’une infection peuvent varier en fonction de la charge utile que les opérateurs du botnet décident d’installer sur l’appareil.
Conclusion
Cette situation démontre une fois de plus que les attaques visant différents types d’appareils connectés à Internet (allant des décodeurs TV aux systèmes d’infodivertissement embarqués dans les voitures) ne sont pas seulement hypothétiques, mais bien réelles. Les cybercriminels sont sans cesse à la recherche de nouveaux appareils dont ils peuvent détourner les ressources à leur profit. La protection contre les programmes malveillants ne concerne donc plus seulement les ordinateurs et les smartphones.
Nos experts ont informé le développeur du mécanisme de diffusion du programme malveillant qu’ils avaient identifié, à la suite de quoi celui-ci a remédié aux failles de sécurité qui avaient été découvertes.
Une analyse technique complète du programme malveillant est disponible sur Securelist.
Quelles autres méthodes les pirates peuvent-ils utiliser pour pirater un véhicule, et quels risques cela représente-t-il pour les conducteurs ? Pour en savoir plus, lisez nos articles :
Conseils