Kaspersky gab bekannt, im Juni 2026 die erste dokumentierte Malware-Kampagne entdeckt zu haben, die speziell auf Android-basierte Multimediasysteme in Fahrzeugen ausgerichtet war. Der Angriff nutzte den eigenen Aktualisierungsmechanismus des Systems aus, um die JarService-Malware zu installieren, ohne dass der Fahrer eingreifen musste. Die Infektion erfolgte über eine legitime Anwendung namens TWCore, die zur Verwaltung von Updates auf Multimediaeinheiten mit Software des chinesischen Unternehmens DoFun verwendet wurde.
Die Malware blieb völlig unauffällig, ohne sichtbare Oberfläche oder Anforderung einer Benutzerautorisierung. Nach der Installation nahm JarService Kontakt mit Servern auf, die von Cyberkriminellen kontrolliert wurden, und konnte zusätzliche Komponenten herunterladen. Die Angreifer konnten Informationen vom infizierten Gerät sammeln, einschließlich Modell, Bildschirmauflösung, MAC-Adresse und WLAN-Netzwerkdaten, sowie betrügerische Werbeklicks generieren, um illegale Einnahmen zu erzielen.
Die Ermittler entdeckten darüber hinaus, dass Angreifer ein als „zhima" bezeichnetes Modul installieren konnten, wodurch das Multimediasystem des Autos zu einem Teil eines Botnets wurde. Dieses Netzwerk ermöglichte die Nutzung der Geräteressourcen, einschließlich der Internetverbindung, um Datenverkehr Dritter ohne Wissen des Eigentümers weiterzuleiten. Kaspersky identifizierte neun Befehle, die den Cyberkriminellen zur Verfügung standen, darunter Werbebetrug und das Herunterladen zusätzlicher bösartiger Module.
Die Kampagne wurde der MoYu-Gruppe zugeordnet, die mit der kriminellen Operation BadBox verknüpft ist,
