En juin 2026, des chercheurs ont découvert un logiciel malveillant Android infectant les unités principales automobiles via les mises à jour de firmware intégrées — premier cas documenté de ce type. Le téléchargeur multi-étapes, attribué au groupe Mo Yu (lié au botnet BADBOX), cible les unités principales Do Fun via l'application système légitime TWCore. TWCore reçoit les commandes de mise à jour via un courtier MQTT à cardoor.cn, en utilisant le drapeau 'installNotExists' pour installer silencieusement de nouveaux APK.

Le logiciel malveillant permet la fraude publicitaire et recrute les appareils dans un botnet de proxy. Kaspersky le détecte comme HEUR:Trojan-Dropper. AndroidOS.

Agent.vu, HEUR:Trojan-Downloader. AndroidOS. Agent.ov, HEUR:Trojan-Proxy.

AndroidOS. Zhima.* et HEUR:Trojan. AndroidOS.

Vo1d.*. Les unités principales, qui incluent souvent des emplacements SIM et un accès Internet, sont vulnérables en raison de la faible validation des mises à jour de firmware. Le fournisseur a été informé et aurait corrigé les problèmes.

Cela souligne les risques dans les systèmes automobiles basés sur Android où les mécanismes de mise à jour de la chaîne d'approvisionnement peuvent être détournés.