Alerte : un malware vise désormais les écrans de votre voiture via les mises à jour — êtes‑vous exposé ?

Alarme : un malware cible désormais les systèmes d’infotainment — comment ça marche et comment protéger votre voiture

La cybersécurité quitte peu à peu nos ordinateurs et nos téléphones pour s’inviter dans nos voitures. Kaspersky a récemment identifié une campagne malveillante inédite visant les systèmes d’infotainment embarqués — ces écrans tactiles qui gèrent la navigation, la musique, les mises à jour et parfois même les fonctions du véhicule. Le constat est grave : il ne s’agit pas d’un malware opportuniste, mais d’une attaque multistade pensée pour exploiter la chaîne de mises à jour des unités Android embarquées. Voici ce que l’on sait, comment l’attaque opère et surtout quelles mesures adopter pour limiter les risques.

Une chaîne d’infection ingénieuse

Les chercheurs de Kaspersky ont repéré un mécanisme d’attaque qui profite d’un composant système légitime, nommé TWCore. Cette application est conçue pour collecter des données analytiques et piloter les mises à jour logicielles des unités d’infotainment. Les attaquants ont détourné ce canal de mise à jour pour distribuer un dropper nommé JarService. Une fois installé, JarService agit comme un downloader multistade : il installe des modules secondaires, se camoufle en application utilisateur sans interface graphique et opère en tâche de fond, à l’abri des regards.

Ce que le malware peut faire

JarService n’est pas un simple adware. Il embarque jusqu’à neuf commandes différentes qui lui permettent :

d’afficher des publicités non sollicitées directement sur l’écran du véhicule ;

d’exécuter des fraudes publicitaires visant à siphonner des revenus ;

de collecter des données sensibles comme la résolution de l’écran, le modèle de l’unité, l’identifiant du réseau Wi‑Fi et l’adresse MAC.

Autrement dit, votre système d’infotainment peut devenir une machine à espionner et à générer des revenus frauduleux pour les opérateurs du malware, le tout sans alerter le conducteur.

Qui est derrière l’attaque ?

Kaspersky attribue cette campagne au groupe criminel MoYu, lié à la botnet BadBox. MoYu est déjà connu pour infecter des appareils Android grand public — notamment des set‑top boxes, des tablettes et des smartphones — souvent dès la fabrication. Le passage aux systèmes automobiles montre une capacité d’adaptation inquiétante : après les téléviseurs et autres appareils Android, c’est maintenant l’écosystème automobile qui est visé.

Pourquoi les systèmes d’infotainment sont vulnérables

Plusieurs facteurs expliquent cette vulnérabilité :

de plus en plus d’unités embarquent Android ou des dérivés, ouvrant une surface d’attaque connue des cybercriminels ;

les mécanismes de mise à jour sont parfois trop permissifs, avec des chaînes d’approvisionnement complexes impliquant fournisseurs tiers ;

les dispositifs peuvent recevoir des logiciels préinstallés depuis la chaîne de production, rendant la détection d’anomalies difficile ;

les fabricants n’ont pas tous les mêmes standards de sécurité, et certains composants critiques sont fournis par des éditeurs externes (ex : DoFun dans ce cas) dont les procédures d’intégrité peuvent être fragiles.

Signes qui doivent alerter le conducteur

Même si l’attaque est conçue pour rester discrète, certains comportements anormaux doivent vous alerter :

pop‑ups publicitaires inhabituels ou publicités qui s’affichent en dehors des applications multimédias ;

lenteurs inexpliquées ou redémarrages fréquents de l’unité d’infotainment ;

modifications d’options ou de réglages sans action de l’utilisateur ;

apparition de nouvelles applications inconnues dans le menu.

Si vous constatez l’un de ces symptômes, signalez‑le immédiatement au constructeur ou à un centre agréé. Evitez d’ignorer ces indices : une infection qui commence par de la publicité peut évoluer vers des modules plus dangereux.

Comment se protéger — bonnes pratiques

Il n’existe pas de solution miracle, mais plusieurs gestes réduisent significativement le risque :

Téléchargez uniquement les mises à jour officielles fournies par le constructeur ou via son application officielle ;

évitez les sources tierces pour flasher ou modifier l’unité d’infotainment ;

contrôlez régulièrement les mises à jour : préférez les télécharger en Wi‑Fi sécurisé plutôt qu’en hotspots publics ;

si possible, activez les fonctions de sécurité proposées par le fabricant (listes blanches d’applications, vérification d’intégrité) ;

faites vérifier votre véhicule dans un centre agréé en cas de comportement suspect ;

pour les professionnels et flottes : envisagez des solutions de sécurité Android intégrées et des audits réguliers des chaînes d’approvisionnement logicielle.

Que doivent faire les constructeurs et fournisseurs

Cette affaire met en lumière la nécessité pour l’industrie automobile de renforcer ses normes de sécurité : intégrité des mises à jour (signed updates), audits des partenaires, isolation stricte des composants critiques et surveillance en continu des comportements logiciels. Les fournisseurs tiers doivent appliquer des pratiques similaires à celles des secteurs IT classiques, avec des certifications de sécurité et des protocoles de distribution résilients aux attaques supply‑chain.

Points à surveiller dans les semaines à venir

les annonces du fournisseur DoFun et des fabricants concernés sur les correctifs déployés ;

la publication d’indicateurs de compromission (IOCs) par Kaspersky ou d’autres laboratoires pour permettre des contrôles automatisés ;

la mise en place éventuelle de normes industrielles renforcées pour les mises à jour OTA (over‑the‑air) et la traçabilité logicielle.

Cette campagne est un avertissement : nos voitures ne sont plus des objets isolés, mais des terminaux connectés exposés aux mêmes menaces qu’un smartphone. La vigilance des conducteurs, combinée à des réponses techniques et organisationnelles robustes de la part des constructeurs et fournisseurs, sera essentielle pour éviter que ces incidents ne deviennent courants.