Un outil de mise à jour du firmware devient un loader
Le chercheur Kaspersky Dmitry Kalinin a documenté la première campagne de malware conçue spécifiquement pour les systèmes d'infotainment automobiles, et son point d'entrée est le canal de mise à jour auquel chaque propriétaire fait confiance par défaut. Un composant nommé JarService agit comme loader : il détourne le mécanisme de mise à jour du firmware intégré aux systèmes DoFun, fabriqués par Shenzhen Driving Control Technology, pour installer une seconde charge sur l'appareil. Comme le canal de diffusion est le propre processus de mise à jour du fabricant, l'infection ressemble à une maintenance ordinaire plutôt qu'à une attaque.
Une fois installé, JarService met en place un module de proxy et de fraude publicitaire nommé zhima. À partir de là, le boîtier n'est plus seulement un écran d'infotainment ; c'est un petit ordinateur en permanence connecté, exécutant un code que son propriétaire n'a jamais approuvé et qu'il n'a aucun moyen simple de voir. La propre connexion internet de la voiture, prévue pour les cartes, le streaming et le diagnostic, devient la ressource revendue.
La voiture continue de rouler parce que rien de critique pour la sécurité ne bouge
Le malware ne touche ni la direction, ni le freinage, ni aucun autre système critique pour la sécurité, et c'est précisément ce confinement qui rend la campagne si difficile à repérer. Il se déplace entièrement dans la couche infotainment et connectivité, la partie de la voiture conçue pour dialoguer avec internet, exécuter des applications et accepter des mises à jour. Le conducteur ne voit aucun voyant s'allumer, aucune réponse de freinage différente, aucune raison de se méfier, parce que rien ne change dans la façon dont la voiture roule.
C'est exactement ce qui rend un botnet de proxys résidentiels si attrayant pour celui qui l'exploite. Un boîtier compromis qui continue de fonctionner parfaitement comme boîtier reste précieux tant que personne ne le remarque, et une voiture qui ne se comporte jamais de façon dangereuse ne donne à son propriétaire aucune raison de vérifier, littéralement ou non, ce que fait sa connexion réseau en arrière-plan.
Les particuliers le remarquent à peine, les flottes et les concessionnaires portent le risque
Les propriétaires particuliers sont la partie la moins exposée dans cette affaire, car une seule voiture compromise n'est qu'un nœud perdu dans un botnet de taille inconnue, et un écran d'infotainment un peu plus lent est facile à mettre sur le compte de l'usure normale. Les gestionnaires de flottes et les concessionnaires portent l'exposition réelle, parce que le même boîtier DoFun, avec le même firmware, se trouve derrière le tableau de bord de chaque véhicule qu'ils reçoivent de ce fournisseur. Une mise à jour compromise fait de chaque voiture construite sur cette plateforme un candidat à la même infection, pas seulement l'unité qui a eu la malchance d'être inspectée.
Un concessionnaire qui a vérifié le logiciel du boîtier une seule fois, à la livraison, n'a aucune visibilité sur ce qui a changé lors de la dixième, de la vingtième ou de la centième mise à jour à distance depuis. Un gestionnaire de flotte avec des centaines de véhicules hérite du même angle mort à plus grande échelle : l'audit qui semblait suffisant le premier jour ne dit rien du firmware qui tourne aujourd'hui.
BADBOX avait déjà un passé avant d'avoir des roues
BADBOX n'est pas un nouveau botnet inventé pour cette campagne ; l'équipe de recherche Satori de HUMAN Security avait déjà exposé le même botnet de proxys résidentiels sur d'autres classes d'appareils, dont des boîtiers TV, bien avant que les systèmes d'infotainment automobiles ne deviennent l'une de ses cibles. Le schéma est cohérent d'une classe d'appareils à l'autre : le matériel compromis revend discrètement sa connexion internet comme adresse IP résidentielle, exactement le type que paient les opérations de fraude publicitaire et d'autres acheteurs de proxys, parce qu'il ressemble à du trafic grand public ordinaire plutôt qu'à un serveur de centre de données.
Ce qui a changé avec cette campagne, documentée autour des 21 et 22 août 2026, c'est la classe d'appareils, pas le modèle économique. Un botnet construit avec des boîtiers TV et un autre avec des boîtiers automobiles vendent tous deux la même chose : de la bande passante et une réputation IP volées à des appareils dont les propriétaires croient encore qu'ils ne travaillent que pour eux.
La solution consiste à auditer la chaîne de mises à jour, pas la voiture chez le concessionnaire
La chaîne de mises à jour du fournisseur, et non la voiture garée chez le concessionnaire, est l'endroit où vit réellement cette campagne, parce que JarService est entré par le propre mécanisme de mise à jour de DoFun, et non par une action du conducteur ou du concessionnaire. Auditer le logiciel du boîtier une seule fois, au moment de la vente, ne vérifie qu'un instantané déjà périmé dès l'arrivée de la première mise à jour à distance. Quiconque compromet le canal de mise à jour du fournisseur obtient une présence persistante dans chaque véhicule en aval, en silence, et revérifier l'appareil après la livraison ne referme pas ce canal.
La leçon dépasse cette seule campagne : toute flotte ou tout concessionnaire qui traite le logiciel du véhicule comme une inspection de sécurité unique fait confiance à une chaîne d'approvisionnement qu'il n'a jamais réellement vérifiée. La solution n'est pas un meilleur scan de la voiture chez le concessionnaire ; c'est l'audit permanent de la chaîne de mises à jour elle-même, à chaque envoi, tant que le véhicule reste connecté.
À lire ensuite: Le succès d'Apple a fait exploser son plan d'appro | Une appli Pac-Man a mis des inconnus sur votre réseau
