Im Juni 2026 entdeckten Forscher Android-Malware, die über eingebaute Firmware-Updater in Automobil-Headunits eindringt — erster dokumentierter Fall dieser Art. Der mehrstufige Downloader, der der Mo Yu Group (mit dem BADBOX-Botnetz verbunden) zugeschrieben wird, zielt auf Do Fun-Headunits über die legitime System-App TWCore ab. TWCore empfängt Update-Befehle über einen MQTT-Broker bei cardoor.cn und nutzt das Flag 'installNotExists', um neue APKs stillschweigend zu installieren.

Die Malware ermöglicht Werbebetrug und rekrutiert Geräte in ein Proxy-Botnetz. Kaspersky erkennt sie als HEUR:Trojan-Dropper. AndroidOS.

Agent.vu, HEUR:Trojan-Downloader. AndroidOS. Agent.ov, HEUR:Trojan-Proxy.

AndroidOS. Zhima.* und HEUR:Trojan. AndroidOS.

Vo1d.*. Headunits, die oft SIM-Slots und Internetzugang besitzen, sind aufgrund schwacher Firmware-Update-Validierung anfällig. Der Hersteller wurde informiert und soll die Probleme behoben haben.

Dies unterstreicht die Risiken in Android-basierten Automobilssystemen, wo Lieferketten-Update-Mechanismen missbraucht werden können.