Em junho de 2026, pesquisadores descobriram malware Android infectando unidades principais de carros por meio de atualizadores de firmware integrados — o primeiro caso documentado desse tipo. O baixador de múltiplos estágios, atribuído ao Grupo Mo Yu (ligado ao botnet BADBOX), visa as unidades principais Do Fun por meio do aplicativo de sistema legítimo TWCore. O TWCore recebe comandos de atualização por meio de um corretor MQTT em cardoor.cn, usando a flag 'installNotExists' para instalar silenciosamente novos APKs.

O malware habilita fraude publicitária e recruta dispositivos em uma botnet de proxy. O Kaspersky o detecta como HEUR:Trojan-Dropper. AndroidOS.

Agent.vu, HEUR:Trojan-Downloader. AndroidOS. Agent.ov, HEUR:Trojan-Proxy.

AndroidOS. Zhima.* e HEUR:Trojan. AndroidOS.

Vo1d.*. As unidades principais, que frequentemente incluem slots SIM e acesso à internet, são vulneráveis devido à validação fraca de atualizações de firmware. O fornecedor foi notificado e supostamente corrigiu os problemas.

Isso destaca os riscos em sistemas automotivos baseados em Android onde os mecanismos de atualização da cadeia de suprimentos podem ser abusados.