В июне 2026 Лаборатория Касперского в ходе мониторинга Android-угроз обнаружила новый необычный многоступенчатый загрузчик, конечная цель которого - рекламное мошенничество и создание прокси-ботнета. Он устанавливался как обычное пользовательское приложение, но при этом никак не маскировался под легитимное ПО - у него отсутствовал интерфейс, что указывало на появление на устройствах пользователей без их ведома. Зловред распространялся через встроенные механизмы прошивок головных устройств с ОС Android для обновления ПО посредством дроппера JarService, ознаменовав собой первый задокументированный случай обнаружения зловреда в Head Unit c цепочкой заражения, характерной для головных устройств. Учитывая, что чаще всего Head Unit не содержит ценной для злоумышленника информации, один из наиболее вероятных сценариев атаки с использованием «классического» вредоносного ПО под Android - это заражение для подключения его к ботнетам по аналогии с атаками на IoT. Собственно, в ходе исследования ЛК нашла именно такой зловред. Прошивки головных устройств производителя DoFun были устроены таким образом, что позволяло злоумышленникам распространять зловреды. Приложение TWCore представляет собой легитимное системное приложение, которое отвечает за сбор аналитических данных, а также за обновление ПО головного устройства. Как уже упоминалось, JarService представляет из себя небольшое приложение-дроппер без какого-либо интерфейса. Оно расшифровывает данные, которые хранятся в коде троянца в виде зашифрованных блоков. Для каждого блока применяется XOR-шифрование с однобайтовым ключом, линейно изменяющимся от блока к блоку. Расшифрованные данные содержат сериализованную информацию о версии полезной нагрузки, ее точке входа, а также сам код зловреда для дальнейшей загрузки. Нагрузка второй стадии представляет собой вредоносный загрузчик. В его коде содержатся зашифрованные строки, используемые в дальнейшем в качестве имен классов для выполнения полезной нагрузки третьего этапа с помощью рефлексии. Загрузчик отправляет информацию об импланте POST-запросом на один из серверов злоумышленников. По ссылке из поля dexUrl в объекте data троянец скачивает сериализованные данные для загрузки следующей стадии. В начале этих данных содержится однобайтовое целое число - ключ для расшифровки строк в коде загрузчика. Сразу за этим числом располагается четырехбайтовое число с плавающей точкой, которое используется для XOR-расшифровки полезной нагрузки третьего этапа. На третьем этапе зловред с полуторачасовым интервалом по умолчанию отправляет POST-запрос с информацией о зараженном устройстве, а также версию конфигурации троянца. Если конфигурация устарела, то С2 возвращал обновленную конфигурацию с новыми C2-адресами, а также новые пути для отправки HTTP-запросов. На момент исследования угрозы версия 3.82 конфигурации была самой актуальной. В случае если версия конфигурации не нуждается в обновлении, командный сервер возвращает целочисленные идентификаторы команд, которые злоумышленники назвали productId. Каждому идентификатору троянец сопоставляет информацию о команде, сохраняемую с помощью механизма SharedPreferences в формате сериализованного JSON-объекта. Более того, каждый идентификатор имеет свою версию - время в формате Unix time. На момент исследования атакующие реализовали девять команд. Судя по функциональности команд, зловред может использоваться для показа рекламы, рекламного мошенничества (кликер), а также загрузки дополнительного вредоносного кода. Однако далеко не все команды используются злоумышленниками в реальных атаках, в основном loadlib2 и http. В первом случае - полезная нагрузка представляет собой реверс-прокси-модуль zhima, который параллельно с нами в ТВ-приставках обнаружили исследователи Nokia Deepfield Emergency Response Team. Таким образом, конечная цель злоумышленников - создание прокси-ботнета. С высокой степенью уверенности в ЛК отнесли активность к актору MoYu Group, связанному с ботнетом BADBOX. Технические подробности и IOCs - в отчете.