2026年8月21日、「カスペルスキー研究所」は、Android用の自動車ヘッドユニットに関する最初の文書化されたマルウェアの分析を発表しました。 感染したカーステレオは音楽を盗んだり、ルートを追跡したりするのではなく、常駐プロキシプールのノードに変わり、広告詐欺のクリックを行います。この話の主なポイントは車そのものではなく、配信方法です：攻撃者は製造業者にSDKを組み込むように説得するのではなく、彼自身のファームウェア更新メカニズムをハイジャックしました。
具体的に何が見つかったのか
キャンペーンは2026年6月に発見され、公開報告は8月21日に発表されました。ターゲットは、中国のDoFun（Shenzhen Driving Control Technology Co., Ltd）のファームウェアを使用したヘッドユニットで、これは純正のカーステレオの代わりに取り付けられるアフターマーケットのカーステレオです。カスペルスキーは、この操作を以前にBADBOXボットネットの事件で知られているMoYuグループに高い確率で結びつけています。BADBOXは、2023年にHUMAN Securityがそのファームウェアに事前にインストールされたバックドアについて報告していました。
感染の連鎖は次のように見えます：
- 入口ポイント — 正当なシステムアプリケーションTWCoreで、DoFunデバイスでは分析と更新を担当しています。これは、cardoor[.]cnドメインのMQTTブローカーを介してコマンドを受け取り、プロトコルにはinstallNotExistsというフラグがあり、デバイスにまだ存在しないアプリケーションをインストールする許可を示します。
- 第一段階 — インターフェースのないドロッパーJarService。内部のペイロードは、1バイトの線形シフトキーでXOR暗号化されています。
- 第二段階 — ブートローダー：デバイス情報を管理サーバーにPOSTリクエストで送信し、次のステップへのリンクを受け取ります。
- 第三段階 — クリックとリバースプロキシのブートローダー：90分ごとにC2にアクセスし、9種類のコマンド（http、web、loadlib2、deeplinkなど）をサポートし、zhimaモジュールを引き出します。
モジュールzhimaがこの操作の本質です：それは管理サーバーへの逆接続を開きます（報告には107.151.248[.]132や128.14.210[.]58のようなアドレスが含まれ、ポートは1337、7777、8888、15000です）し、デバイスをプロキシノードにします。ヘッドユニットはこの役割にほぼ完璧に適しています：多くのものにはSIMカードスロットがあり、常にインターネットに接続されています — これはナビゲーションやその更新に必要です。
なぜこれは別のレベルであり、「もう一つのボットネット」ではないのか
これまで、「グレー」な常駐IPの起源に関する大規模な話は次のように見えました：安価なデバイスの製造業者や無料アプリの開発者が意図的にマネタイズSDKを組み込み、その対価を受け取る一方で、ユーザーは未読のEULAに同意します。Googleは、NetNutネットワークの排除に関する報告で、家庭用機器がプロキシネットワークに入る2つのチャネルを定義しています：マルウェアは購入前に事前にインストールされているか、ユーザーが隠れたプロキシコードを含むアプリを自らダウンロードしたかのいずれかです。
DoFunのケースはどちらにも当てはまりません。ここではベンダーは関与しておらず、知らされていません：彼は更新の信頼できる配信チャネルを奪われました。カスペルスキーは会社に通知し、研究者によると、その問題は解決されました。しかし、市場にとっての実際の結論は不快です：「パートナーとの契約書と同意文のテキストを見せてください」という原則に基づくプールの起源の確認はもはや十分ではありません。ノードは、デバイスを製造した人の関与なしに取得できます。
第二の重要な点は商業的な結びつきです。研究者は、admin.uipoxy[.]comドメインに招待コードによる登録を伴う管理パネルを発見しました。つまり、これは「ボットネットのためのボットネット」ではなく、感染したデバイスを介してトラフィックが誰かに販売される機能するショーケースです。同時に、Nokia Deepfieldの専門家は、TVセットトップボックスでも同じzhimaモジュールを独立して発見しました。言い換えれば、1つのプールがセットトップボックスとカーステレオなど、異なるクラスの機器から同時に集められています。
隣接する操作の規模は、なぜこれが行われるのかの指針を提供します。2026年7月2日、GoogleはFBI、IRS-CI、Lumenと共同でNetNutネットワークをシャットダウンしました：Googleの推定によれば、200万台以上の捕獲されたデバイスがありました。6月の1週間だけで、GTIGのテレメトリーは、推定ノードNetNutを介して出ている316の個別の活動クラスターを記録しました — サイバー犯罪からスパイ活動を行うグループまで。我々はこの市場のメカニズムを別途分析しました。
なぜ市場はこれを容認しているのか
答えは簡単です — 価格です。Proxywayの2026年の調査によると、2025年の初めから2026年の3月までの間に、少なくとも56の新しいプロキシベンダーが市場に登場し、ほとんどの新しい常駐サービスは他のインフラの上にあるホワイトラベルであり、注目すべき部分は検索を介さず、BlackHatWorldのようなフォーラムを通じて推進されています。下位セグメントでは、常駐トラフィックのギガバイトは0.30ドル以下であり — この価格は、パートナーへの支払いとオペレーターとの契約を通じてプールを集める場合には物理的に達成不可能です。まさにこれらの提案が市場全体の価格を押し下げています。
上位層は成長しています：Bright Dataは年間50％の成長を報告し、年間売上高は約3億ドル、NetNutは7月の排除まで+28％を示し、市場の他の参加者は30％から倍増までの幅があります。つまり、データとアクセスの需要は、合法的なノードの提供よりも早く成長しており — そしてそのギャップは、カーステレオのzhimaのようなストーリーで埋められています。
プロキシを購入する人にとっての意味
無視する誘惑は理解できます：「私は中国製のカーステレオの所有者ではないので、私には関係ありません」。関係があります — しかし、別の側面からです。もしあなたのプロバイダーが市場の下位層でトラフィックを購入しているなら、あなたはまさにそのようなノードを介して作業している可能性があります。結果は非常に日常的です：
- IPの隣接性。 同じノードを介して同じ時間にクリック詐欺、パスワードの推測、またはスキャンが行われる可能性があります。アンチ詐欺プラットフォームはあなたを見ず、アドレスの総合的な評判を見て — あなたが何かをする前にセッションを終了させます。
- ブロックリスト。 報告書や排除操作が公開された後、範囲や特定のアドレスはすぐに評判のデータベースに広がります。昨日購入した「クリーン」なIPが、今日はリストに載ることになります。
- ノードの不安定性。 カーステレオは家庭用ルーターではありません。車は移動し、デバイスはセル間を切り替え、ASNや地理が変わります；夜間、車はエンジンを切った状態で停車し、ノードはあなたのセッションの真ん中で単に消えてしまいます。認証やカート作業のような長いタスクには、これが確実な中断を引き起こします。
- 法的および評判のリスク。 明らかに侵害されたデバイスを介して流れるトラフィックは、特にあなたの契約者が「ユーザーの倫理的同意」を約束した場合、どんな法的な争いにおいても悪い立場です。
プールをどのように確認するか
- ノードの取得モデルは何か。 明確なオプトインを伴う独自のパートナーシップネットワーク、オペレーターからのレンタル、ISP契約 — それとも、未指定のアップストリームからの「バルク」購入。アップストリームのレベルを明示しないこと自体が答えです。
- 評判の継続的な監視が行われているか。 ノードは一度確認するだけでは不十分です：入力時にクリーンなアドレスも、数週間で悪化します。プールがどのくらいの頻度で、どの情報源を基に再評価され、ブロックリストに載ったアドレスに何が起こるのかを尋ねてください。
- 排除操作の際に何をするか。 7月のNetNutの事件の後、市場は再編成されました。正直なオペレーターは、失われたセグメントをどのように補うかについて明確な答えを持っており、沈黙や品質の低下ではありません。
- 自分で確認する。 重要なタスクの前に、提供されたアドレスを評判のデータベースでチェックしてください — これを行う方法は、IPのブロックリストの確認に関するガイドで説明されています。さらに、最も簡単な行動テスト：もし「常駐」アドレスが30分以内にASNや都市を変えるなら、それはアパートではありません。
実用的な指針：セッションの予測可能性が重要なタスクには、プールの透明な出所を持つ常駐プロキシを選ぶ方が賢明であり、モバイルオペレーターが必要な場合には、明確なネットワークセットを持つモバイルプロキシを選ぶべきであり、他人の車の中のランダムなSIMカードではありません。
Androidカーステレオやセットトップボックスをお持ちの場合
特定のオーディエンスの一部は、まさにそのデバイスの所有者です。普遍的な「カーステレオ用のアンチウイルス」は存在しませんが、最低限できることはあります：
- ファームウェアが更新されているか確認する：カスペルスキーによると、DoFunは脆弱性を修正したため、更新は意味があります。
- デバイスに常時インターネット接続を与えない：ネットワークが必要ない場合、ノードは無意味です。多くのアフターマーケットのカーステレオは、ネットワーク接続が必要なのは時折だけです。
- ルーターやSIMカードでトラフィックを監視する：デバイスからの常時発信トラフィックは、「ただ音楽を再生している」デバイスの直接的な兆候です。これは、非公式なファームウェアを持つTVセットトップボックスにも当てはまります。
- 非公式なビルドやサードパーティのストアからのクライアントをインストールしない：NetNutの事件では、このチャネルがかなりの割合のノードを提供しました。
結論
DoFunの話は、感染した車の数ではなく — 誰もまだその数を挙げていないため、おそらくそれほど多くはありません。興味深いのは前例です：常駐プールを構築するために、もはやデバイスの製造業者と合意する必要はありません。彼のアップデーターをハイジャックするだけで十分です。これは、プロキシ市場の下位価格層が、デバイスの所有者やベンダーがその存在を知らないノードで今後も満たされ続けることを意味します — それは、これらを介して作業する人々にとってすべての結果を伴います。安価なギガバイトと予測可能なギガバイトの違いは、まさにこれにあります。