Pada Juni 2026, peneliti menemukan malware Android yang menginfeksi unit kepala mobil melalui updater firmware bawaan — pertama kali tercatat jenis ini. Pengunduh multi-tahap yang dikaitkan dengan kelompok Mo Yu (terkait botnet BADBOX) menargetkan unit kepala Do Fun melalui aplikasi sistem sah TWCore. TWCore menerima perintah pembaruan melalui broker MQTT di cardoor.cn, menggunakan bendera 'installNotExists' untuk menyisipkan APK baru secara diam-diam.

Malware ini mengaktifkan penipuan iklan dan merekrut perangkat ke botnet proxy. Kaspersky mendeteksi malware ini sebagai HEUR:Trojan-Dropper. AndroidOS.

Agent.vu, HEUR:Trojan-Downloader. AndroidOS. Agent.ov, HEUR:Trojan-Proxy.

AndroidOS. Zhima.* dan HEUR:Trojan. AndroidOS.

Vo1d.*. Unit kepala yang sering menyertakan slot SIM dan akses internet rentan karena validasi pembaruan firmware yang lemah. Pabrikan telah diberi tahu dan reportedly telah memperbaiki masalah.

Hal ini menyoroti risiko di sistem otomotif berbasis Android tempat mekanisme pembaruan rantai pasokan dapat disalahgunakan.