ARTICLE · 979405
安卓车机遭木马入侵!全球首例针对车载中控恶意软件曝光,大批设备沦为僵尸网络
安卓车机遭木马入侵!全球首例针对车载中控恶意软件曝光,大批设备沦为僵尸网络汽车智能化不断普及，安卓车机中控已经成为绝大多数车型的标配。导航、影音、互联服务给用车带来便利的同时，车载系统的网络安全风险也逐渐浮出水面。卡巴斯基安全研究团队在2026年6月对外披露一起重大安全事件，这也是全球首例拥有完整感染链路、专门瞄准安卓车机中控的恶意软件攻击，大量车载设备在用户毫无感知的情况下被黑客控制。 和 我们常见的手机恶意程序不一样，这一次攻击并不依靠哄骗用户下载陌生APP来完成入侵。黑客瞄准的是车机系统自带的合法系统应用TWCore。这个组件原本承担设备数据采集、软件版本更新的正常功能，但自身存在设计缺陷。 攻击者篡改MQTT消息代理服务下发恶意指令，利用更新逻辑里布尔标记installNotExists的漏洞，让TWCore具备静默下载、自动安装本机原本不存在程序的能力。整套入侵流程直接绕开用户确认弹窗与系统安全校验，不需要车主做任何点击确认操作，恶意程序就可以进驻车机系统。 整套木马采用三段式多阶段下载器架构，全程后台静默运行，车主几乎很难察觉到异常。 第一阶段为投放器JarService，该组件没有任何可视化操作界面，悄悄落地到车机内部，解密加密数据之后，启动下一阶段攻击载荷。 进入第二阶段加载器，程序会主动把车机硬件信息上传至黑客控制的服务器，接收后续恶意组件的下载地址，完成进一步渗透。 到达第三阶段核心载荷之后，被入侵的车机会持续和攻击者服务器建立连接，搜集设备型号、屏幕分辨率、WiFi名称、MAC地址等各类信息，随时等待接收新的配置与控制命令。 很多车主会产生疑问，车机里面没有银行卡、身份隐私等高价值资料，黑客费尽心思入侵车载设备究竟想要什么？ 本次攻击的核心目标并非窃取车主个人隐私，而是把一台台正常的车载中控设备收编，组建大规模代理僵尸网络。被攻陷的车机可以在后台弹出广告、制造虚假点击完成广告欺诈；同时内置zhima反向代理模块，受感染车辆的网络流量会被黑客中继转发，成为黑产网络当中的一环。大量家用车机，就这样悄无声息沦为黑产牟利的工具。 安全研究团队高置信度认定，本次攻击行为出自MoYu Group魔芋组织，该团伙和BADBOX僵尸网络有着十分密切的关联。遭到攻陷的是DoFun多氪品牌车机固件，固件本身存在的设计漏洞，给恶意软件传播提供了可乘之机。 值得庆幸的是，根据现有检测结果，这一套恶意软件还无法直接干预车辆转向、制动等关乎行车生命安全的核心控制系统，不会直接造成行驶危险。但这并不代表风险可以忽视，设备信息泄露、设备被劫持受控，已经暴露出安卓车载中控巨大的安全短板。事件曝光之后，安全机构已经第一时间把漏洞细节同步给到对应厂商，厂商方面表示相关安全隐患已经完成修复。 智能化汽车时代，车机安全不只是软件问题，更关乎每一位车主的信息安全。普通车主日常用车，也需要建立基础的安全防范意识。 请尽量只安装车企、官方经销商推送验证过的系统更新，不要随意使用来路不明的软件，尽量避免插入来源不明的U盘存储介质。日常使用过程中，如果发现车机莫名多出陌生应用、系统出现无故弹窗、后台异常联网等反常现象，及时留存信息向厂商反馈上报。 对于车载设备制造厂商而言，本次事件也敲响警钟。系统更新应当严格校验安装包签名，对每一条远程下发指令做好安全核验，同时建立恶意更新的撤销回滚机制，从底层堵住远程静默入侵的漏洞。 当汽车变成一台跑在路上的智能终端，网络攻击的战场已经从手机电脑延伸到我们的交通工具。这一起全球首例车载中控完整木马攻击案例，也为整个行业敲响警钟：在追求车机功能丰富度的同时，系统安全防护绝不能缺位。