Pada 21 Agustus 2026, "Laboratorium Kaspersky" menerbitkan analisis tentang malware pertama yang terdokumentasi untuk perangkat kepala mobil berbasis Android. Radio yang terinfeksi tidak mencuri musik dan tidak melacak rute — ia berubah menjadi node dalam pool proxy residensial dan menjadi klik untuk penipuan iklan. Hal utama dalam cerita ini bukanlah mobil itu sendiri, tetapi cara penyampaian: para penjahat tidak membujuk produsen untuk mengintegrasikan SDK, tetapi mengambil alih mekanisme pembaruan firmware miliknya sendiri.
Apa yang ditemukan
Kampanye ini terdeteksi pada Juni 2026, laporan publik dirilis pada 21 Agustus. Tujuannya adalah perangkat kepala dengan firmware dari perusahaan China DoFun (Shenzhen Driving Control Technology Co., Ltd), yaitu radio aftermarket yang dipasang sebagai pengganti radio mobil standar. Kaspersky dengan keyakinan tinggi mengaitkan operasi ini dengan kelompok MoYu, yang sebelumnya terlibat dalam kasus botnet BADBOX — platform yang memiliki backdoor yang sudah terpasang dalam firmware-nya, yang dilaporkan oleh HUMAN Security pada tahun 2023.
Rantai infeksi terlihat seperti ini:
- Titik masuk — aplikasi sistem yang sah TWCore, yang pada perangkat DoFun bertanggung jawab untuk analitik dan pembaruan. Ia menerima perintah melalui broker MQTT di domain cardoor[.]cn, dan dalam protokol terdapat bendera installNotExists — izin untuk menginstal aplikasi yang belum ada di perangkat.
- Tahap pertama — dropper JarService tanpa antarmuka. Muatan berbahaya di dalamnya dienkripsi dengan XOR menggunakan kunci satu byte yang bergeser secara linier.
- Tahap kedua — loader: mengirimkan informasi perangkat ke server pengendali melalui permintaan POST dan menerima tautan untuk tahap berikutnya.
- Tahap ketiga — klik dan loader reverse proxy: menghubungi C2 setiap 90 menit, mendukung sembilan jenis perintah (di antaranya http, web, loadlib2, deeplink) dan menarik modul zhima.
Modul zhima adalah inti dari operasi ini: ia membuka koneksi balik ke server pengendali (dalam laporan disebutkan alamat seperti 107.151.248[.]132 dan 128.14.210[.]58, dengan port 1337, 7777, 8888, 15000) dan menjadikan perangkat sebagai node proxy. Perangkat kepala hampir sempurna untuk peran ini: banyak yang memiliki slot untuk SIM card dan koneksi internet tetap — yang diperlukan untuk navigasi dan pembaruan tersebut.
Mengapa ini adalah level yang berbeda, bukan "botnet lain"
Sampai saat ini, cerita massal tentang asal-usul IP residensial "abu-abu" terlihat seperti ini: produsen perangkat murah atau pengembang aplikasi gratis dengan sengaja mengintegrasikan SDK monetisasi dan mendapatkan uang untuk itu, sementara pengguna setuju pada EULA yang tidak dibaca. Google dalam laporan tentang penutupan jaringan NetNut merumuskan dua saluran untuk masuknya perangkat rumah ke dalam jaringan proxy: malware sudah terpasang sebelum pembelian atau pengguna sendiri mengunduh aplikasi dengan kode proxy tersembunyi.
Kasus DoFun tidak masuk ke dalam salah satu dari keduanya. Di sini vendor tidak terlibat dan tidak tahu: saluran pengiriman pembaruan yang tepercaya telah dicuri. Kaspersky memberi tahu perusahaan tersebut, dan menurut para peneliti, masalah ini telah ditangani. Namun, kesimpulan praktis untuk pasar tidak menyenangkan: pemeriksaan asal pool berdasarkan prinsip "tunjukkan kontrak dengan mitra dan teks persetujuan" tidak lagi cukup. Node dapat diperoleh tanpa keterlibatan dari pihak yang memproduksi perangkat.
Garis penting kedua — keterikatan komersial. Para peneliti menemukan panel admin di domain admin.uipoxy[.]com dengan pendaftaran menggunakan kode undangan. Artinya, ini bukan "botnet untuk botnet", tetapi etalase yang berfungsi, di mana lalu lintas melalui perangkat yang terinfeksi dijual kepada seseorang. Secara bersamaan, para ahli Nokia Deepfield secara independen menemukan modul zhima yang sama di set-top box TV. Dengan kata lain, satu pool dikumpulkan dari berbagai kelas perangkat — set-top box dan radio.
Skala operasi di sekitarnya memberikan petunjuk tentang mengapa ini dilakukan. Pada 2 Juli 2026, Google bersama dengan FBI, IRS-CI, dan Lumen mematikan jaringan NetNut: menurut estimasi Google, lebih dari 2 juta perangkat yang terjaring. Hanya dalam satu minggu di bulan Juni, telemetri GTIG mencatat 316 kluster aktivitas terpisah yang keluar melalui node yang diduga NetNut — dari kejahatan siber hingga kelompok yang terlibat dalam spionase. Kami membahas mekanika pasar ini secara terpisah, dalam materi tentang ekonomi pool residensial.
Mengapa pasar ini bertahan
Jawabannya sederhana — harga. Menurut penelitian Proxyway untuk tahun 2026, hanya antara awal 2025 dan Maret 2026, setidaknya 56 vendor proxy baru muncul di pasar, dan sebagian besar layanan residensial baru adalah label putih di atas infrastruktur orang lain; bagian yang signifikan dipromosikan tidak melalui pencarian, tetapi melalui forum seperti BlackHatWorld. Di segmen bawah, satu gigabyte lalu lintas residensial harganya 0,30 dolar dan lebih murah — harga seperti itu secara fisik tidak dapat dicapai jika pool dibentuk melalui pembayaran kepada mitra dan kontrak dengan operator. Inilah yang menekan harga seluruh pasar ke bawah.
Lapisan atas, di sisi lain, tumbuh: Bright Data melaporkan pertumbuhan tahunan 50% dan pendapatan tahunan sekitar 300 juta dolar, NetNut sebelum likuidasi bulan Juli menunjukkan +28%, sementara peserta pasar lainnya berkisar dari 30% hingga dua kali lipat tahun ke tahun. Dengan kata lain, permintaan untuk data dan akses tumbuh lebih cepat daripada penawaran node yang legal — dan celah ini diisi dengan cerita seperti zhima di radio.
Apa artinya bagi mereka yang membeli proxy
Godaan untuk mengabaikan jelas: "saya bukan pemilik radio China, ini tidak ada hubungannya dengan saya". Ini berhubungan — tetapi dari sisi lain meja. Jika penyedia Anda membeli lalu lintas di lapisan bawah pasar, Anda mungkin bekerja melalui node seperti itu. Konsekuensinya cukup sehari-hari:
- Keberadaan IP. Melalui node yang sama pada waktu yang sama dapat terjadi klik penipuan, percobaan password, atau pemindaian. Platform anti-fraud tidak melihat Anda, tetapi reputasi total alamat — dan membuang sesi sebelum Anda sempat melakukan sesuatu.
- Daftar blokir. Setelah publikasi laporan dan operasi takedown, rentang dan alamat tertentu dengan cepat menyebar ke basis data reputasi. IP "bersih" yang dibeli kemarin hari ini ternyata ada dalam daftar.
- Ketidakstabilan node. Radio bukan router rumah. Mobil bergerak, perangkat berpindah antara sel, ASN dan geo berubah; pada malam hari mobil berhenti dengan kunci kontak mati, dan node tiba-tiba menghilang di tengah sesi Anda. Untuk tugas panjang seperti otorisasi atau bekerja dengan keranjang, ini menjamin terputusnya.
- Risiko hukum dan reputasi. Lalu lintas yang melewati perangkat yang jelas-jelas terkompromi — posisi yang buruk dalam setiap sengketa, terutama jika kontraktor Anda menjanjikan "persetujuan etis dari pengguna".
Bagaimana cara memeriksa pool sekarang
Pertanyaan kepada penyedia perlu dipformulasikan ulang. Dulu cukup dengan "dari mana IP" — sekarang lebih penting bagaimana kontrol dilakukan selama masa hidup node:
- Apa model perolehan node. Jaringan mitra sendiri dengan pembayaran dan opt-in yang jelas, sewa dari operator, kontrak ISP — atau pembelian "grosir" dari upstream yang tidak disebutkan. Penolakan untuk menyebutkan tingkat upstream — itu sendiri adalah jawaban.
- Apakah ada pemantauan reputasi yang berkelanjutan. Node tidak hanya perlu diperiksa sekali: alamat yang bersih saat masuk dapat rusak dalam beberapa minggu. Tanyakan seberapa sering dan dari sumber mana pool dinilai ulang dan apa yang terjadi dengan alamat yang masuk dalam daftar blokir.
- Apa yang dilakukan saat operasi takedown. Setelah cerita bulan Juli dengan NetNut, pasar mengalami perombakan. Operator yang jujur memiliki jawaban yang jelas tentang bagaimana mereka mengganti segmen yang hilang, bukan diam dan kualitas yang menurun.
- Periksa sendiri. Sebelum tugas serius, jalankan alamat yang diberikan melalui basis data reputasi — cara melakukannya telah dibahas dalam panduan tentang memeriksa IP dalam daftar blokir. Ditambah tes perilaku yang paling sederhana: jika alamat "residensial" mengubah ASN dan kota dalam setengah jam, itu bukan apartemen.
Panduan praktis: untuk tugas di mana prediktabilitas sesi penting, lebih bijaksana untuk mengambil proxy residensial dengan asal pool yang transparan, dan di mana diperlukan operator seluler — proxy seluler dengan kumpulan jaringan yang jelas, bukan SIM card acak di mobil orang lain.
Jika Anda memiliki radio Android atau set-top box
Bagian terpisah dari audiens adalah pemilik perangkat tersebut. Tidak ada "antivirus universal untuk radio", tetapi setidaknya ada beberapa langkah yang bisa diambil:
- Periksa apakah firmware telah diperbarui: DoFun, menurut Kaspersky, telah menutup kerentanan, jadi pembaruan itu masuk akal.
- Jangan memberikan perangkat akses internet permanen jika tidak diperlukan: tanpa jaringan, node tidak berguna. Banyak radio aftermarket hanya perlu koneksi ke jaringan secara episodik.
- Pantau lalu lintas di router atau melalui SIM card: aliran keluar yang konstan dari perangkat yang "hanya memutar musik" adalah tanda langsung. Hal yang sama berlaku untuk set-top box TV dengan firmware tidak resmi.
- Jangan menginstal build dan klien tidak resmi dari toko pihak ketiga: dalam kasus NetNut, saluran ini memberikan proporsi signifikan dari node.
Kesimpulan
Kisah tentang DoFun menarik bukan karena jumlah mobil yang terinfeksi — tidak ada yang menyebutnya sejauh ini, dan kemungkinan besar jumlahnya tidak besar. Yang menarik adalah preseden: untuk mengumpulkan pool residensial, tidak perlu lagi bernegosiasi dengan produsen perangkat. Cukup ambil alih updater-nya. Ini berarti bahwa lapisan harga bawah pasar proxy akan terus diisi dengan node yang keberadaannya tidak diketahui oleh pemilik perangkat maupun vendornya — dengan semua konsekuensi bagi mereka yang bekerja melalui node tersebut. Perbedaan antara gigabyte murah dan yang dapat diprediksi terletak tepat di sini.