Trojan pour autoradios : comment la capture de l'updater transforme la voiture en nœud proxy

```html

Le 21 août 2026, «Laboratoire Kaspersky» a publié une analyse du premier malware documenté pour les autoradios Android. La radio infectée ne vole pas de musique et ne suit pas l'itinéraire — elle se transforme en nœud d'un pool de proxy résidentiel et en clicker pour la fraude publicitaire. L'essentiel de cette histoire n'est pas la voiture elle-même, mais le mode de livraison : les cybercriminels n'ont pas persuadé le fabricant d'intégrer un SDK, mais ont intercepté son propre mécanisme de mise à jour du firmware.

Qu'ont-ils trouvé exactement

La campagne a été découverte en juin 2026, le rapport public a été publié le 21 août. La cible — les autoradios fonctionnant avec le firmware de la société chinoise DoFun (Shenzhen Driving Control Technology Co., Ltd), ce sont des autoradios de rechange qui remplacent l'autoradio d'origine. Kaspersky lie cette opération avec un haut degré de certitude au groupe MoYu, qui avait déjà été impliqué dans l'histoire du botnet BADBOX — une plateforme dont les firmwares contenaient des portes dérobées préinstallées, comme l'a rapporté HUMAN Security en 2023.

La chaîne d'infection se déroule comme suit :

1. Point d'entrée — application système légitime TWCore, qui sur les appareils DoFun est responsable de l'analyse et des mises à jour. Elle reçoit des commandes via un courtier MQTT sur le domaine cardoor[.]cn, et dans le protocole, il y a un drapeau installNotExists — autorisation d'installer une application qui n'est pas encore sur l'appareil.
2. Première étape — dropper JarService sans interface. La charge utile à l'intérieur est chiffrée par XOR avec une clé à décalage linéaire d'un octet.
3. Deuxième étape — chargeur : envoie des informations sur l'appareil au serveur de contrôle via une requête POST et reçoit des liens pour l'étape suivante.
4. Troisième étape — clicker et chargeur de reverse proxy : se connecte au C2 toutes les 90 minutes, prend en charge neuf types de commandes (parmi lesquelles http, web, loadlib2, deeplink) et télécharge le module zhima.

Le module zhima est le cœur de l'opération : il ouvre une connexion inverse vers les serveurs de contrôle (les adresses mentionnées dans le rapport incluent des adresses de type 107.151.248[.]132 et 128.14.210[.]58, ports 1337, 7777, 8888, 15000) et transforme l'appareil en nœud proxy. Les autoradios conviennent presque parfaitement à ce rôle : beaucoup d'entre eux ont un emplacement pour carte SIM et un accès constant à Internet — nécessaire pour la navigation et ces fameuses mises à jour.

Pourquoi c'est un autre niveau, et pas «encore un botnet»

Jusqu'à présent, l'histoire de masse sur l'origine des IP «grises» résidentielles était la suivante : le fabricant d'un appareil bon marché ou le développeur d'une application gratuite intègre délibérément un SDK de monétisation et reçoit de l'argent pour cela, tandis que l'utilisateur accepte un EULA non lu. Google, dans son rapport sur la liquidation du réseau NetNut, formule deux canaux par lesquels les appareils domestiques pénètrent dans les réseaux proxy : le malware est préinstallé avant l'achat ou l'utilisateur a lui-même téléchargé l'application avec un code proxy caché.

Le cas de DoFun ne correspond à aucun d'eux. Ici, le fournisseur n'est pas impliqué et n'est pas au courant : son canal de livraison de mises à jour de confiance a été détourné. Kaspersky a informé l'entreprise, et selon les chercheurs, celle-ci a résolu le problème. Mais la conclusion pratique pour le marché est désagréable : vérifier l'origine du pool selon le principe «montrez-nous les contrats avec les partenaires et le texte du consentement» cesse d'être suffisant. Un nœud peut être obtenu sans l'implication de celui qui a fabriqué l'appareil.

Un deuxième point important — l'encadrement commercial. Les chercheurs ont trouvé un panneau d'administration sur le domaine admin.uipoxy[.]com avec une inscription par codes d'invitation. Cela signifie que ce n'est pas «un botnet pour le botnet», mais une vitrine fonctionnelle où le trafic à travers des appareils infectés est vendu à quelqu'un. Parallèlement, des spécialistes de Nokia Deepfield ont indépendamment découvert le même module zhima dans des décodeurs TV. En d'autres termes, un pool est constitué simultanément à partir de différentes classes d'appareils — décodeurs et autoradios.

L'ampleur des opérations voisines donne une indication sur la raison pour laquelle cela se fait. Le 2 juillet 2026, Google, en collaboration avec le FBI, l'IRS-CI et Lumen, a déconnecté le réseau NetNut : selon Google, plus de 2 millions d'appareils capturés. Rien qu'en une semaine de juin, la télémétrie GTIG a enregistré 316 clusters d'activité distincts, sortant par le biais des nœuds présumés de NetNut, — allant de la cybercriminalité aux groupes d'espionnage. Nous avons examiné la mécanique de ce marché séparément, dans un article sur l'économie du pool résidentiel.

Pourquoi le marché le tolère

La réponse est simple — le prix. Selon une étude de Proxyway pour 2026, entre le début de 2025 et mars 2026, au moins 56 nouveaux fournisseurs de proxy sont apparus sur le marché, et la plupart des nouveaux services résidentiels sont des marques blanches sur une infrastructure étrangère ; une part significative est promue non pas par la recherche, mais par des forums comme BlackHatWorld. Dans le segment inférieur, un gigaoctet de trafic résidentiel coûte 0,30 dollar ou moins — un tel prix est physiquement inatteignable si le pool est constitué par des paiements aux partenaires et des contrats avec les opérateurs. Ce sont précisément ces offres qui font pression sur les prix de l'ensemble du marché.

Le segment supérieur, quant à lui, croît : Bright Data a rapporté une croissance annuelle de 50 % et un chiffre d'affaires annuel d'environ 300 millions de dollars, NetNut avant sa liquidation en juillet affichait +28 %, et les autres acteurs du marché varient de 30 % à un doublement d'une année sur l'autre. En d'autres termes, la demande de données et d'accès croît plus rapidement que l'offre légale de nœuds, — et ce fossé est comblé par des histoires comme zhima dans les autoradios.

Qu'est-ce que cela signifie pour ceux qui achètent des proxies

La tentation de balayer cela d'un revers de main est compréhensible : «je ne suis pas le propriétaire d'un autoradio chinois, cela ne me concerne pas». Cela concerne — mais de l'autre côté du comptoir. Si votre fournisseur achète du trafic dans le segment inférieur du marché, vous pouvez travailler à travers exactement ces nœuds. Les conséquences sont assez banales :

• Voisinage par IP. À travers le même nœud, au même moment, il peut y avoir de la fraude au clic, des tentatives de piratage de mots de passe ou des scans. Les plateformes anti-fraude ne voient pas vous, mais la réputation globale de l'adresse — et annulent la session avant que vous n'ayez pu faire quoi que ce soit.
• Listes noires. Après la publication de rapports et d'opérations de takedown, les plages et adresses spécifiques se répandent rapidement dans les bases de données de réputation. L'IP «propre» achetée hier se retrouve aujourd'hui sur des listes.
• Instabilité du nœud. Un autoradio n'est pas un routeur domestique. La voiture se déplace, l'appareil change entre les cellules, les ASN et les géolocalisations changent ; la nuit, la voiture est à l'arrêt avec le contact éteint, et le nœud disparaît simplement au milieu de votre session. Pour des tâches longues comme l'autorisation ou le travail avec un panier, cela garantit des interruptions.
• Risque juridique et réputationnel. Le trafic passant par un appareil manifestement compromis — c'est une mauvaise position dans toute dispute, surtout si votre contractant a promis des «consentements éthiques des utilisateurs».

Comment vérifier le pool maintenant

Les questions à poser au fournisseur doivent être reformulées. Auparavant, il suffisait de demander «d'où vient l'IP» — maintenant, il est plus important de comprendre comment le contrôle est exercé tout au long de la vie du nœud :

1. Quel est le modèle d'obtention du nœud. Un réseau partenaire propre avec des paiements et un opt-in explicite, location auprès d'un opérateur, contrat ISP — ou achat «en gros» auprès d'un upstream non nommé. Le refus de nommer le niveau de l'upstream — est en soi une réponse.
2. Y a-t-il une surveillance continue de la réputation. Il ne suffit pas de vérifier le nœud une fois : une adresse propre à l'entrée peut se détériorer en quelques semaines. Demandez à quelle fréquence et selon quelles sources le pool est réévalué et que se passe-t-il avec une adresse qui se retrouve sur une liste noire.
3. Que font-ils lors d'une opération de takedown. Après l'histoire de juillet avec NetNut, le marché a été remanié. Un opérateur honnête a une réponse claire sur la manière dont il remplace les segments perdus, et non un silence et une qualité dégradée.
4. Vérifiez vous-même. Avant une tâche sérieuse, passez les adresses fournies par les bases de données de réputation — comment faire cela est expliqué dans le guide sur la vérification des IP dans les listes noires. De plus, un test comportemental simple : si l'ASN et la ville d'une adresse «résidentielle» changent dans les trente minutes, ce n'est pas un appartement.

Un repère pratique : pour les tâches où la prévisibilité de la session est importante, il est plus judicieux de prendre des proxies résidentiels avec une origine de pool transparente, et là où un opérateur mobile est nécessaire — des proxies mobiles avec un ensemble de réseaux clair, et non une carte SIM aléatoire dans une voiture étrangère.

Si vous avez un autoradio Android ou un décodeur

Une partie distincte du public — les propriétaires de ces appareils. Il n'existe pas d'«antivirus universel pour autoradio», mais il y a un minimum à faire :

• Vérifiez si le firmware est à jour : DoFun, selon Kaspersky, a corrigé la vulnérabilité, donc la mise à jour a du sens.
• Ne pas donner à l'appareil un accès Internet constant, si ce n'est pas nécessaire : sans réseau, le nœud est inutile. Beaucoup d'autoradios de rechange n'ont besoin d'une connexion réseau que de manière épisodique.
• Surveillez le trafic sur le routeur ou via la carte SIM : un flux sortant constant d'un appareil qui «joue simplement de la musique» est un signe direct. Il en va de même pour les décodeurs TV avec des firmwares non officiels.
• Ne pas installer de versions non officielles et de clients provenant de magasins tiers : dans l'histoire de NetNut, c'est précisément ce canal qui a fourni une part significative de nœuds.

Conclusion

L'histoire de DoFun est intéressante non pas par le nombre de machines infectées — personne ne l'a encore nommé, et il est probablement faible. Ce qui est intéressant, c'est le précédent : pour constituer un pool résidentiel, il n'est plus nécessaire de négocier avec le fabricant de l'appareil. Il suffit de capturer son mise à jour. Cela signifie que le segment de prix inférieur du marché des proxies continuera à se remplir de nœuds dont ni le propriétaire de l'appareil ni son fournisseur ne connaissent l'existence — avec toutes les conséquences pour ceux qui travaillent à travers eux. La différence entre un gigaoctet bon marché et un prévisible réside précisément là.