В июне 2026 года исследователи обнаружили Android-вредоносное ПО, заражающее головные устройства автомобилей через встроенные обновления прошивки — первый документированный случай такого рода. Многоэтапный загрузчик, приписываемый группе Mo Yu (связанной с ботнетом BADBOX), нацелен на головные устройства Do Fun через легитимное системное приложение TWCore. TWCore получает команды обновления через брокер MQTT на cardoor.cn, используя флаг 'installNotExists' для бесшумной установки новых APK. Вредоносное ПО обеспечивает рекламное мошенничество и рекрутирует устройства в прокси-ботнет. Kaspersky обнаруживает его как HEUR:Trojan-Dropper.

AndroidOS. Agent.vu, HEUR:Trojan-Downloader. AndroidOS.

Agent.ov, HEUR:Trojan-Proxy. AndroidOS. Zhima.* и HEUR:Trojan.

AndroidOS. Vo1d.*. Головные устройства, которые часто включают слоты SIM и доступ в интернет, уязвимы из-за слабой проверки обновлений прошивки. Поставщик был уведомлен и, как сообщается, исправил проблемы. Это подчеркивает риски в автомобильных системах на базе Android, где механизмы обновления цепочки поставок могут быть использованы враждебно.