Des chercheurs de Kaspersky ont détecté un logiciel malveillant capable d’infecter les autoradios connectés fabriqués par la société chinoise DoFun, alerte Clubic. Une fois l’infection réalisée, le programme intègre les appareils touchés à un réseau de machines détournées, un botnet, mis au service de pirates informatiques.
Le mécanisme exploité par les attaquants est celui, tout à fait légitime au départ, des mises à jour automatiques. Aucune action du conducteur n’est nécessaire, ni même son accord : l’infection se produit à son insu, via le système censé sécuriser son appareil.
Kaspersky a repéré la faille en juin 2026, lors d’une surveillance courante des logiciels malveillants Android. Il s’agirait du premier trojan connu conçu spécifiquement pour ce type d’autoradios, utilisés par des millions d’automobilistes à travers le monde. DoFun, qui développe firmware, applications et services cloud pour ces systèmes d’infodivertissement, revendique à lui seul 30 millions de propriétaires de véhicules équipés de ses têtes de lecture.
Une tête de lecture DoFun embarque en réalité un système Android complet, avec sa propre mémoire et la capacité d’installer des applications, bien au-delà de la simple projection d’écran qu’assure Android Auto depuis un smartphone.
Une porte dérobée dans le service de mise à jour
Chez DoFun, une application préinstallée nommée TWCore distribue les mises à jour du système depuis un serveur basé en Chine. En temps normal, elle récupère des informations sur les fichiers à télécharger, principalement des mises à jour de logiciels déjà installés. Mais ce même mécanisme peut servir à installer des applications entières. Un paramètre baptisé installNotExists y échappe aux vérifications d’installation et laisse passer des fichiers sans l’accord du conducteur.
C’est par cette faille que s’installe un premier module, JarService : une application vide, sans interface, qui ne tente même pas de se faire passer pour un service légitime. Son code contient, chiffrée, la charge utile de l’étape suivante.
Trois modules pour prendre la main sur l’appareil
JarService déchiffre cette charge et lance un téléchargeur qui contacte un serveur de commande et de contrôle. Celui-ci répond en envoyant un second programme, chargé de collecter l’identifiant de l’appareil, sa version logicielle et son forfait de mise à jour, avant de transmettre l’adresse d’un troisième module, baptisé zhima.
Ce dernier interroge le serveur toutes les 90 minutes et exécute les instructions reçues, parmi neuf commandes recensées par Kaspersky. La plus utilisée, selon le rapport technique de l’éditeur, permet le téléchargement de code arbitraire.
Le module zhima intègre chaque autoradio infecté aux services PXYEDGE et ProxyForU, deux plateformes qui revendent des accès à des proxies résidentiels. Le trafic de clients extérieurs transite alors par la connexion des appareils compromis, notamment pour la fraude publicitaire.
Dans cette dernière étape, un module clicker sert des publicités et simule des clics automatiques au profit des pirates responsables de la campagne. Pour le conducteur, les conséquences se limitent à un ralentissement de l’appareil et une perte sensible de la vitesse de connexion internet embarquée, le botnet détournant une partie des ressources de traitement vers son propre trafic.
Kaspersky attribue cette campagne au groupe MoYu, avec un niveau de confiance élevé. L’attribution repose sur un chevauchement d’infrastructure entre Badbox, une plateforme malveillante centrée sur l’infection d’appareils Android, et un logiciel malveillant déjà repéré sur des boîtiers TV. Cette piste a été confirmée de façon indépendante par l’équipe Nokia Deepfield Emergency Response.
Le précédent n’est pas isolé. En juin 2025, le FBI avait averti que le botnet Badbox 2.0 avait infecté plus d’un million d’appareils Android non certifiés dans 222 pays et territoires, parmi lesquels des systèmes multimédias automobiles, des téléviseurs connectés et des tablettes bon marché.
Les géants du Web surveillent eux aussi ce marché des proxies résidentiels. Google a annoncé, le 3 juillet 2026, avoir démantelé un réseau lié à NetNut, aussi connu sous le nom Popa, qui enrôlait environ 2 millions d’appareils domestiques à l’insu de leurs propriétaires. C’était la troisième opération menée par l’entreprise contre ce type de réseau en un an, après Badbox 2.0 et un autre réseau baptisé IPIDEA.
Kaspersky a averti DoFun de ces failles avant de publier ses conclusions techniques, le 21 août 2026. Le fabricant chinois a depuis corrigé les problèmes signalés.
