JAVASCORNER.CO.ID, JAKARTA - Para peneliti keamanan siber dari Kaspersky telah menemukan keluarga malware baru yang dirancang khusus untuk menginfeksi firmware unit kepala (head unit) kendaraan berbasis Android yang diproduksi oleh DoFun. Malware ini menyebar melalui mekanisme pembaruan perangkat lunak bawaan, menjadikannya ancaman baru yang menargetkan ekosistem otomotif modern.
- Latar Belakang: Head Unit Mobil sebagai Target Baru
- Rantai Infeksi: Dari TWCore hingga JarService
- Perintah Malware: Sembilan Kemampuan Tersembunyi
- Kaitan dengan Botnet BADBOX dan Grup MoYu
- Peringatan Ahli: Keamanan Otomotif Modern Butuh Perlindungan
Latar Belakang: Head Unit Mobil sebagai Target Baru
Head unit mobil adalah pusat kendali yang menggabungkan fungsi multimedia dengan kontrol atas sebagian fungsi kendaraan. Perangkat ini bisa terpasang dari pabrik atau ditambahkan setelah pembelian (aftermarket). Popularitas head unit berbasis Android meningkat pesat, baik untuk retrofit maupun kendaraan baru.
Karena berbasis Android, aplikasi standar dan malware dapat berjalan di perangkat tersebut. Ditambah dengan slot kartu SIM yang memungkinkan akses internet untuk navigasi dan pembaruan, head unit menjadi target menarik bagi pelaku kejahatan siber.
Rantai Infeksi: Dari TWCore hingga JarService
Kaspersky menemukan malware ini pada Juni 2026. Titik awalnya adalah aplikasi sistem sah bernama TWCore (com.tw.core), yang dirancang untuk mengumpulkan analitik dan memperbarui perangkat lunak head unit melalui file APK. Aplikasi ini menggunakan broker pesan MQTT di subdomain cardoor[.]cn untuk mengunduh file APK ke direktori cache eksternal.
Para pelaku ancaman memanfaatkan saluran pembaruan ini untuk mengirimkan malware yang belum dikenal langsung ke head unit, menggunakan dropper bernama JarService. Dropper ini meluncurkan loader yang melakukan beberapa tindakan:
- Mengirim informasi implant ke server penyerang melalui HTTP POST.
- Server merespons dengan tautan untuk mengunduh payload tahap berikutnya (
144.217.243[.]201/vr34der34/dex3.68.png). - Payload tersebut memuat referensi versi, memungkinkan peneliti menemukan tujuh varian berbeda sejak versi "3.57".
Setelah terpasang, malware beroperasi secara tersembunyi tanpa antarmuka pengguna. Ia mengirim permintaan POST ke server C2 (/cpc/api/task) setiap 90 menit, bersama dengan informasi perangkat dan versi konfigurasi. Jika konfigurasi usang, server C2 mengirimkan konfigurasi baru; jika tidak, server mengirimkan ID perintah integer yang disebut productId.
Perintah Malware: Sembilan Kemampuan Tersembunyi
Malware ini mendukung sembilan perintah yang dapat menampilkan iklan tidak diinginkan, melakukan penipuan iklan, dan mengunduh modul berbahaya tambahan. Perintah tersebut juga memungkinkan penyerang menerima informasi perangkat secara ekstensif, seperti resolusi layar, model perangkat, ID jaringan Wi-Fi, dan alamat MAC.
Berikut daftar perintah yang didukung:
| No | Perintah | Fungsi |
|---|---|---|
| 1 | return | Mengembalikan nilai dari SharedPreferences |
| 2 | copy | Menyalin konten ke clipboard |
| 3 | http | Membuat permintaan HTTP POST/GET ke sumber tertentu |
| 4 | web | Membuka tautan di WebView dan menjalankan JavaScript |
| 5 | loadlib | Belum diimplementasikan penuh |
| 6 | loadlib2 | Mengunduh dan mengeksekusi kode dari URL |
| 7 | loadlib3 | Belum diimplementasikan penuh |
| 8 | deeplink | Membuka URL di browser |
| 9 | traceroute | Memeriksa ketersediaan sumber daya melalui ping ICMP |
Dari sembilan perintah tersebut, dua yang paling sering digunakan adalah loadlib2 dan http untuk mengunduh modul proksi bernama "zhima", yang sebelumnya didokumentasikan oleh Nokia Deepfield Emergency Response Team. Modul ini digunakan untuk membangun botnet proksi residensial.
Kaitan dengan Botnet BADBOX dan Grup MoYu
Aktivitas malware ini dikaitkan dengan Grup MoYu, yang sebelumnya diungkap oleh HUMAN Satori sebagai bagian dari skema penipuan iklan dan proksi residensial BADBOX. Pada Juli 2025, Google mengajukan gugatan terhadap 25 individu atau entitas di Tiongkok yang diduga mengoperasikan botnet BADBOX.
Meskipun upaya penutupan botnet terus dilakukan, pelaku individu terus melanjutkan aktivitas jahat mereka. Mereka menginfeksi perangkat di seluruh dunia dengan metode yang semakin canggih, mulai dari backdoor yang sudah terpasang hingga aplikasi IPTV yang disusupi.
Peringatan Ahli: Keamanan Otomotif Modern Butuh Perlindungan
Dmitry Kalinin, peneliti keamanan di Kaspersky, menegaskan bahwa malware ini adalah kasus pertama yang terdokumentasi menyerang head unit mobil dengan rantai infeksi yang spesifik untuk perangkat tersebut. "Ini menjadi peringatan bahwa platform otomotif modern sangat membutuhkan perlindungan yang kuat terhadap malware," ujarnya.
Setelah pengungkapan yang bertanggung jawab, masalah yang mendorong penyalahgunaan distribusi perangkat lunak telah diatasi. Namun, para ahli mengingatkan bahwa pengguna head unit Android harus lebih waspada terhadap pembaruan firmware dan memastikan sumbernya terpercaya.
Dengan semakin terhubungnya kendaraan ke internet, ancaman siber terhadap otomotif diprediksi akan terus meningkat. Keamanan siber tidak lagi hanya soal komputer dan ponsel, tetapi juga menyangkut keselamatan berkendara di era digital.
