Les chercheurs de Kaspersky ont identifié un réseau malveillant d’un genre encore inédit, baptisé Zhima, qui cible spécifiquement les autoradios connectés fonctionnant sous Android et les enrôle dans un botnet à l’insu des conducteurs. La découverte marque un tournant dans la cartographie des menaces mobiles, puisque jamais un malware n’avait jusqu’ici visé ces « car head units », ces systèmes d’infodivertissement embarqués qui concentrent désormais navigation GPS, téléphonie, streaming musical et, parfois, accès aux données du véhicule.
Le vecteur d’infection est plus retors qu’un simple téléchargement piégé : c’est le canal officiel de mise à jour des autoradios du constructeur chinois DoFun qui s’est retrouvé compromis. Kaspersky a tracé la chaîne de déploiement jusqu’à une application système légitime, l’outil TWCore, chargé de collecter la télémétrie et de distribuer les mises à jour de ces appareils. Ce tunnel de confiance a été détourné pour injecter un premier composant malveillant, JarService, qui s’exécute silencieusement en arrière-plan dès le démarrage du système et établit une connexion persistante avec un serveur de commande et de contrôle. L’autoradio devient alors un nœud du botnet Zhima, mobilisable à distance pour relayer du trafic, lancer des requêtes frauduleuses ou servir de proxy à d’autres opérations.
La chaîne d’infection exploite une particularité structurelle de ces appareils embarqués, qui fonctionnent très souvent avec des versions obsolètes d’Android (4.x ou 5.x), dépourvues des correctifs de sécurité récents et privées de toute vérification applicative rigoureuse. Les constructeurs d’autoradios bon marché, essentiellement d’origine chinoise, livrent leurs produits avec un accès root déjà déverrouillé, ce qui facilite considérablement l’installation de composants malveillants au niveau système. JarService tire parti de ces privilèges élevés pour se maintenir en place même après un redémarrage complet de l’appareil, rendant sa suppression particulièrement ardue pour un utilisateur non averti.
Le périmètre de risque dépasse la seule nuisance numérique habituelle. Un autoradio connecté compromis peut, selon l’architecture du véhicule, accéder au bus CAN (Controller Area Network) qui relie les différents calculateurs embarqués. La possibilité, même théorique, qu’un attaquant distant puisse interagir avec des fonctions liées au diagnostic moteur, au verrouillage des portières ou à la géolocalisation en temps réel du véhicule dessine un scénario que l’industrie automobile ne peut plus ignorer. Les autoradios Android aftermarket, vendus massivement sur les places de marché en ligne pour quelques dizaines d’euros, constituent sans doute le maillon le plus vulnérable de l’écosystème automobile connecté.
Kaspersky n’a pas communiqué de chiffre global sur le nombre d’appareils infectés par Zhima, mais les analystes de l’entreprise ont observé une concentration géographique des infections en Asie du Sud-Est, en Russie et dans certains pays d’Amérique latine, là où la pénétration des autoradios Android à bas coût est la plus forte. Le botnet semble encore en phase d’expansion, ses opérateurs testant différentes charges utiles et affinant les mécanismes de persistance de JarService au fil des mises à jour successives du malware.
La parade reste élémentaire dans son principe et redoutablement difficile dans son application. Il faudrait que chaque propriétaire d’autoradio Android renonce à installer des applications provenant de sources non vérifiées, maintienne le firmware de son appareil à jour et, idéalement, désactive l’accès root… trois gestes que l’immense majorité des utilisateurs ne maîtrise pas et que les fabricants d’appareils à bas prix n’encouragent guère. Le botnet Zhima révèle ainsi une faille béante à l’intersection de deux industries, celle du logiciel mobile et celle de l’automobile, qui n’ont manifestement pas encore appris à parler le même langage de sécurité.
