概要

Kasperskyは2026年6月、中国・深圳の駆動控制科技（Shenzhen Driving Control Technology）が製造するDoFunブランドのAndroid車載インフォテインメント機器（ヘッドユニット）を標的とした、車載機器としては初めて確認されるマルウェア感染チェーンを発見した。同社はこの攻撃を、BADBOXエコシステムに関連する「MoYu Group」によるものと高い確度で特定している。感染した機器は広告詐欺やレジデンシャルプロキシボットネットのノードとして悪用されており、ナビゲーションやオーディオ、一部の車両設定を制御するこれらのアフターマーケット機器がサプライチェーン経由で侵害された点が特徴的だ。DoFun側はKasperskyからの通報を受け、問題を修正したという。

感染経路

攻撃者は、端末の分析データ収集とソフトウェアアップデートを担う正規のシステムアプリ「TWCore」（パッケージ名 com.tw.core）を悪用した。具体的には、cardoor[.]cn でホストされるMQTTメッセージブローカーを操作し、正規のアップデート配信経路を通じて不正なAPKファイルをインストールさせる。その際、既存アプリのチェックを回避する installNotExists フラグが利用されており、ユーザーが正規の更新だと信じて疑わない形でマルウェアが仕込まれる仕組みになっている。

マルウェアの構成と機能

感染チェーンは多段階構成で、第1段階のドロッパー「JarService」がXOR暗号化されたペイロードを展開する。第2段階のローダーは端末情報（画面解像度、機種、Wi-Fi SSID、MACアドレスなど）をC2サーバーへ送信し、単バイトおよび浮動小数点XORキーで暗号化された次段階ペイロードのダウンロードリンクを受信する。第3段階は「クリッカー／リバースプロキシローダー」として90分ごとに /cpc/api/task にHTTP POSTでポーリングし、SharedPreferences APIにJSON形式で保存された設定に基づき、クリップボード操作、WebView内でのJavaScript実行、任意コードのダウンロード実行、ブラウザのディープリンク起動など9種類のコマンドを処理する。さらに loadlib2 コマンドにより、IPTVアプリでも過去に確認された「zhima」リバースプロキシモジュールを読み込み、感染端末をレジデンシャルプロキシとして稼働させる。

Kasperskyはペイロードのバージョン管理から「dex3.57」から「dex3.68」までの7種の異なる第3段階ペイロードと、8種のzhimaモジュールの亜種を確認しており、長期間にわたり活動が継続・更新されてきたことがうかがえる。C2インフラとしては kshahnd[.]sbs、mdsjhd[.]sbs、nmnsny[.]sbs、kookjar[.]com などの .sbs ドメインや複数のIPアドレスが利用されている。

攻撃主体の特定

Kasperskyは、スレッド名「mosdk-host-loader」がMoYu Group関連インフラと一致すること、関連マルウェア内のサービス名に「Moyu」への言及が見られること、既知のMoYu Group活動とネットワークインフラが重複していること、さらにuipoxyやProxyForU、PXYEDGEといったプロキシサービスパネルとの関連が確認できることから、高い確度で本キャンペーンをMoYu Groupに帰属させている。MoYu Groupは、これまでも広告詐欺とレジデンシャルプロキシ事業を展開する大規模ボットネット「BADBOX」の一部として知られてきたグループだ。BADBOXを巡っては、Googleが2025年7月、関連インフラを運営しているとされる身元不明の中国企業25社を相手取り訴訟を提起しており、法執行の動きが強まる中でも攻撃者側が新たなプラットフォームへの侵害範囲を拡大し続けている実態が浮き彫りになった。

今後の展望

Kasperskyの研究者Dmitry Kalinin氏は「車載ヘッドユニットで発見されたマルウェアとして、この種の機器に特化した感染チェーンが確認されたのはこれが初めてのケースだ」とし、「現代の自動車プラットフォームは、マルウェアに対する堅牢な防御策を早急に必要としている」と警鐘を鳴らしている。今回の事例は、スマートフォンやIoT機器に続き、車両に搭載されるインフォテインメントシステムもサプライチェーン攻撃やボットネット化の標的となり得ることを示した。