Contexte et cible
Le groupe de menace MoYu a ciblé les unités de tête Android commercialisées sous la marque DoFun. Ces appareils, intégrés aux systèmes d’infodivertissement des véhicules, fonctionnent sous Android et disposent d’un accès permanent aux réseaux cellulaires et Wi‑Fi du véhicule. En compromettant ces points d’entrée, les attaquants obtiennent un pivot réseau capable de traverser les pare‑feux domestiques des conducteurs, tout en restant isolés du contrôle physique du véhicule, comme l’ont confirmé les chercheurs qui n’ont détecté aucune altération des fonctions de conduite.
Mécanisme d’infection et de commande
L’infection repose sur un APK malveillant nommé « JarService », injecté dans l’application système légitime TWCore. TWCore possède les privilèges d’installation système, ce qui permet à l’APK de s’exécuter avec des droits élevés sans déclencher d’avertissement utilisateur. Une fois installé, le composant malveillant se connecte à un broker MQTT, protocole de messagerie léger largement utilisé dans l’IoT. Le choix de MQTT minimise la bande passante consommée et se fond dans le trafic habituel des appareils connectés, rendant la détection plus difficile. Les instructions reçues sont codées sous forme de topics MQTT, ce qui permet aux opérateurs du botnet de modifier à la volée les comportements des unités compromises.
Fonctionnalités du botnet et vecteurs d’abus
Le code de JarService transforme chaque unité infectée en nœud SOCKS5 accessible à distance. Ce protocole de proxy TCP permet aux acteurs malveillants de relayer du trafic Internet via le réseau cellulaire du véhicule, masquant ainsi l’origine des requêtes. En parallèle, le malware exécute des tâches de click‑fraud, générant des clics publicitaires factices pour gonfler artificiellement les revenus des campagnes publicitaires. Le domaine de commande cardoor.cn est utilisé comme point de contact central, et les communications sont chiffrées pour éviter l’interception. Aucun accès aux bus CAN ou aux systèmes de freinage n’a été observé, mais la capacité à injecter du trafic réseau représente un vecteur d’escalade potentiel si l’attaquant parvient à exploiter des vulnérabilités supplémentaires dans le firmware du tableau de bord.
Implications sécuritaires et recommandations
La compromission d’appareils embarqués expose les conducteurs à plusieurs risques : fuite de données personnelles (géolocalisation, contacts), utilisation du réseau mobile à des fins illicites et augmentation de la facture téléphonique. De plus, la présence d’un proxy ouvert peut servir de relais pour des activités criminelles, entraînant des enquêtes légales sur les propriétaires innocents. Les experts recommandent de surveiller le trafic réseau des unités Android, en filtrant les connexions vers le domaine cardoor.cn et en inspectant les flux MQTT inhabituels. Une mise à jour du firmware du fabricant, désactivant les applications système non essentielles et l’utilisation de solutions MDM (Mobile Device Management) pour restreindre les installations d’APK non signés constituent des mesures de mitigation immédiates. Enfin, la communauté doit pousser les constructeurs à appliquer le principe du moindre privilège aux applications système afin de réduire la surface d’attaque des futures chaînes d’approvisionnement.
