En junio de 2026, investigadores descubrieron malware Android que infecta unidades principales de autos a través de actualizadores de firmware integrados — el primer caso documentado de su tipo. El descargador de múltiples etapas, atribuido al Grupo Mo Yu (vinculado al botnet BADBOX), apunta a las unidades principales Do Fun a través de la aplicación legítima del sistema TWCore. TWCore recibe comandos de actualización mediante un broker MQTT en cardoor.cn, utilizando la bandera 'installNotExists' para instalar silenciosamente nuevos APK.

El malware habilita fraude publicitario y recluta dispositivos en un botnet de proxy. Kaspersky lo detecta como HEUR:Trojan-Dropper. AndroidOS.

Agent.vu, HEUR:Trojan-Downloader. AndroidOS. Agent.ov, HEUR:Trojan-Proxy.

AndroidOS. Zhima.* y HEUR:Trojan. AndroidOS.

Vo1d.*. Las unidades principales, que a menudo incluyen ranuras SIM y acceso a internet, son vulnerables debido a la débil validación de actualizaciones de firmware. El proveedor fue notificado y supuestamente solucionó los problemas.

Esto destaca los riesgos en sistemas automotrices basados en Android donde los mecanismos de actualización de la cadena de suministro pueden ser abusados.