Kaspersky在2026年6月監測Android威脅時，發現一種專門針對汽車Android車機的新型惡意程式。研究人員把這宗事件形容為首個有記錄、透過自動韌體更新服務把惡意程式送進汽車車機，而且感染鏈明確針對車載系統設計的案例。
不過，這不代表所有Android車機都受到影響。Kaspersky指出，已知感染集中在使用中國公司DoFun軟體平台的部分Android車機，公開研究並沒有列出涉及的汽車品牌、車款或受影響設備數量。
合法更新App被利用 惡意程式在背景安裝
這次攻擊的入口不是車主自行下載可疑App，而是車機原本就存在的合法系統程式TWCore。這個App本來負責收集分析資料，以及接收廠商伺服器指示，為車機安裝或更新軟體。
攻擊者利用同一條更新管道，把名為JarService的惡意程式送進車機。JarService本身沒有使用者介面，安裝後可在背景運作，再解密並啟動下一階段下載器，從遠端控制伺服器取得更多惡意模組。
目前主要做廣告詐騙 也可把車機變成Botnet節點
Kaspersky分析到九種不同指令，包括顯示未經同意的廣告、進行廣告詐騙，以及下載額外惡意模組。攻擊者亦可取得顯示解析度、裝置型號、連接中的Wi-Fi網絡識別碼與MAC地址等資料。
Securelist的進一步技術分析顯示，後續模組亦包括點擊器與反向代理相關功能。Kaspersky把這次活動與MoYu Group聯繫起來，該組織與BADBOX惡意平台有關。研究人員認為，受感染車機可能被納入代理Botnet，讓第三方流量經過這些設備與網絡連線轉送。
不是“汽車被駭到失控” 暫未見煞車轉向遭控制
這裡必須把風險說清楚。部分現代車機除了多媒體與導航，也可能與部分車輛功能整合，但Kaspersky目前公開的樣本行為，重點仍集中在廣告詐騙、惡意模組下載、裝置資料收集與代理網絡用途。
截至目前，公開研究沒有證據顯示這批惡意程式可以直接控制煞車、轉向或動力系統，因此不能把它解讀成“駭客已經可以遠端把汽車開走”。真正值得注意的是，攻擊者這次利用的是合法更新機制，代表車載軟體的供應鏈與更新伺服器本身，也可能成為攻擊入口。
DoFun稱問題已修復
Kaspersky表示已把這次軟體分發遭濫用的問題通知DoFun，而DoFun回覆稱相關問題已經修復。由於公開資料沒有列出具體受影響車機型號，使用相關Android車機的車主若有疑慮，較穩妥的做法仍是確認系統韌體保持最新，並留意車機是否出現異常廣告、背景流量或不明App。
這宗事件的意義，不只是Android車機多了一種惡意程式，而是汽車愈來愈依賴長期連網與OTA更新後，原本屬於手機和電腦世界的供應鏈攻擊，也開始真正進入車內。
資料來源：Kaspersky