Android搭載カーナビの正規アプデにマルウェア。BADBOXが車に到達

Kasperskyが、Android搭載の車載ヘッドユニットを標的としたマルウェアを発見した。正規のアップデート機能を悪用した感染チェーンで、ヘッドユニット専用に設計された攻撃としては世界初の事例になる。

正規のアップデートアプリが感染経路になった

標的となったのは、中国・深セン駕控科技有限公司が運営するDoFunの製品群。DoFunはAndroidベースの汎用ヘッドユニットを製造・販売しており、車のインフォテインメント、ナビゲーション、各種設定を操作する車内の中枢装置として使われている。

Kasperskyの研究者ドミトリー・カリーニン（Dmitry Kalinin）氏が2026年6月にこのマルウェアを発見した。感染の起点は、DoFunのヘッドユニットに標準搭載されているシステムアプリ「TWCore」にある。TWCoreは分析データの収集とソフトウェアアップデートを担う正規アプリで、cardoor[.]cnというドメインのMQTTメッセージブローカー（機器間のメッセージを中継するサーバー）から指示を受けてAPKファイルをダウンロード・インストールする。

このTWCoreにはinstallNotExistsというフラグが存在し、端末に元々入っていないアプリも新規にインストールできる仕組みになっていた。攻撃者はこの機能を利用して、JarServiceという名称のマルウェアをヘッドユニットに送り込んだ。

多段階で進む感染。目的は住宅用プロキシと広告詐欺

JarServiceにはユーザーインターフェースが一切なく、利用者が気付く手段はない。起動すると内部の暗号化データを復号し、第2段階のローダーを実行する。このローダーがC2（指令）サーバーと通信し、さらに暗号化された第3段階のペイロード（実際に不正な動作を行うプログラム本体）をダウンロードする。

最終段階のペイロードは、端末の機種名、画面解像度、接続中のWi-FiのSSID、MACアドレスといった情報を収集しながら、攻撃者からのコマンドを待ち受ける。Kasperskyが確認した時点で9種類のコマンドに対応しており、任意コードのダウンロードと実行、WebView上でのJavaScript実行、HTTPリクエストの送信、クリップボードの操作などが含まれていた。

ただし攻撃者が実際に使っていたのは、そのうち2つに限られる。任意コードをダウンロード・実行するloadlib2コマンドと、HTTPリクエストを送信するhttpコマンドの2つ。

loadlib2で配信されていたのが「zhima」というリバースプロキシモジュールで、ヘッドユニットをプロキシボットネットのノード（中継地点）に変える。車のインターネット接続を経由して第三者のトラフィックを中継する「住宅用プロキシ」（一般家庭のネット回線を踏み台にして通信元を隠す手法）として機能させる仕組みで、加えて広告のクリック詐欺にも利用されていた。

Kasperskyは、このマルウェアが走行や車両制御システムには干渉しないと説明している。目的は広告詐欺による収益化と、ヘッドユニットを住宅用プロキシに転用することに限られる。

BADBOXが車に到達した意味

Kasperskyはこの攻撃を、高い確度でMoYuグループに帰属させた。MoYuグループは、これまでTVストリーミングボックスやタブレットなどの安価なAndroid端末にマルウェアをプリインストールする手口で知られるBADBOXボットネット（マルウェアに感染した大量の端末を遠隔操作するネットワーク）に関与してきた脅威アクター。

帰属の根拠は複数ある。第2段階ローダーのスレッド名に「mosdk-host-loader」という文字列が含まれていたこと、TV用セットトップボックスの悪意あるアプリ内に「AdmoyuService」というサービス名があったこと、そしてネットワークインフラがMoYuグループの既知のものと広範に重複していたことが挙げられる。Nokia Deepfield Emergency Response Teamも同時期にzhimaモジュールをTV STBで独立発見しており、インフラの重複を裏付けている。

BADBOXの活動規模はこれまでも深刻だった。2025年7月、Googleはニューヨーク連邦裁判所でBADBOX 2.0の運営に関与したとされる中国の25の個人・団体を提訴している。Googleはこの時点で1,000万台以上の未認証Androidデバイスがボットネットに組み込まれていたと推計した。2025年6月にはFBIもBADBOX 2.0への警告を発しており、感染対象としてTVストリーミングボックス、デジタルプロジェクター、デジタルフォトフレームに加え、「車載インフォテインメントシステム」を明記していた。

今回のKasperskyの発見は、FBIが警告していたリスクが現実の感染事例として確認されたことを意味する。しかもTVボックスのように出荷前にファームウェアへ仕込む手法とは異なり、正規アップデート機能の乗っ取りという、より洗練された経路を使っている。ヘッドユニット専用に設計された感染チェーンが確認されたのは、Kasperskyによればこれが初の事例になる。

Kasperskyの通知を受けたDoFunは、問題を修正したと回答している。ただ侵入経路の詳細（TWCoreの配信サーバーがどの段階で侵害されたのか）は公表されていない。

安価なAndroid搭載ヘッドユニットは、日本でも通販サイトを通じて購入できる。カーナビや車載ディスプレイとして使われるこれらの製品は、スマートフォンと違ってセキュリティアップデートの頻度や品質がメーカーに大きく依存する。Google Play Protectの認証を受けていない端末では、こうしたサプライチェーン経由の攻撃に対する防御手段がほぼ存在しない。BADBOXの脅威はTVやタブレットの話だった。その前提は、もう成り立たない。

関連記事

• GEEKOM、公式ドライバーにバックドア型マルウェア。対象6機種と対処法
• 英海軍ドローン艇のカメラ、中国側サーバーへ稼働情報を送信
• Chrome、ポリシー悪用の拡張機能を初期設定で遮断へ。WindowsとmacOSが対象
• Arch LinuxのAUR、パッケージの引き取りを全面停止。再開後すぐ再びマルウェア
• Dysphoriaボットネット、摘発後4か月で20万台規模に再拡大　復旧構造を分析
• Windowsの人気アプリを装う偽サイト72件、開発者が組織的作戦を発見
• Steamの掲示板に「修正コマンド」を装う仮想通貨マイナー
• 日本交通にサイバー攻撃　電話配車停止、GOアプリは継続稼働
• Microsoft Authenticator、改造端末を検知して仕事用アカウントを強制削除へ
• 米司法省がW杯違法配信サイト約400件を一斉押収。4年前の5倍規模