Android 惡意程式入侵車載資訊系統 變身廣告詐騙與殭屍網路

事件概述

卡巴斯基在 2026 年 6 月首次發現一款針對 Android 車載資訊系統的惡意程式，該程式不偽裝成合法應用，也不具備使用者圖形介面，會在車主毫不知情的情況下直接滲透裝置。駭客透過特定廠商 DoFun 的韌體更新機制散佈惡意程式，目的在將受感染的車載主機變成 廣告詐騙 或 非法代理伺服器殭屍網路 的一環，這是首例專門針對車載系統的 Android 惡意程式。

攻擊手法與技術細節

• 合法應用濫用：攻擊者利用車載系統內的合法程式 TWCore（負責資料收集與軟體更新）作為入口。
• 參數注入：在執行更新時，透過 installNotExists 參數推送惡意工具 JarService。
• 載入與回傳：JarService 會下載惡意程式載入工具，並向 C2（指揮與控制伺服器）回傳裝置資訊，讓 C2 判斷後下發下一階段的 惡意酬載。
• 惡意功能：該酬載同時具備 Clicker（自動點擊廣告）與 反向代理程式（將裝置變為代理伺服器）的功能，讓駭客可持續利用車載裝置進行廣告詐騙或加入 BadBox 殭屍網路。

可能影響與產業警訊

1. 車載系統成為新攻擊面：雖然車載資訊系統通常不儲存高價值資料，但具備長時間連網的 物聯網裝置 特性，使其成為理想的 Botnet 節點。

2. 供應鏈風險：此次攻擊利用廠商的韌體更新機制，凸顯供應鏈安全的薄弱環節。若韌體驗證流程不嚴謹，任何惡意程式都可能被植入。

3. 使用者隱私與安全：惡意程式在未取得使用者同意的情況下傳送裝置資訊，可能洩漏車輛位置、行駛行為等敏感資料。

未來展望與防護建議

• 加強韌體驗證：車載系統製造商應採用簽名驗證與加密傳輸，防止未授權的更新檔案被安裝。
• 行為監控：資安廠商可針對車載系統的異常網路流量與非預期的程式執行行為建立偵測規則。
• 供應鏈透明化：車廠與零組件供應商應建立共同的安全基線，定期進行第三方安全評估。
• 使用者教育：提醒車主勿自行安裝非官方的車載應用，並定期檢查系統更新來源。

此波 MoYu Group 與 BadBox 的跨領域攻擊，已向產業敲響警鐘：隨著車載資訊系統功能日益豐富，資安防護必須同步升級，才能避免車輛成為下一代「行動殭屍」的溫床。