Jak útok funguje krok za krokem

Infekční řetězec začíná u aplikace TWCore, která v ekosystému DoFun slouží jako systémový updater. Řidič ji nikdy nevidí, protože nemá uživatelské rozhraní. Právě proto je tak nebezpečná: útočníci ji zneužili jako vstupní bránu.

Prvním krokem je dropper JarService (balík com.tw.jar1), který se tváří jako systémová služba. Druhým krokem je loader, který připraví prostředí pro hlavní zátěž. Třetí fáze je nejzávažnější: modul zhima promění palubní jednotku v rezidenční proxy uzel. Prakticky to znamená, že internetový provoz cizích lidí proudí přes datové připojení auta. Podle analýzy Kaspersky třetí fáze kontaktuje řídicí server každých 90 minut a umí přijímat devět různých příkazů, od otevírání webových stránek přes odesílání požadavků až po stahování dalších modulů.

Zásadní odlišnost od běžného malwaru na telefonu: tady nečeká nikdo na kliknutí uživatele. Škodlivý kód přišel přes legitimní aktualizační kanál zabudovaný přímo ve firmwaru. Jde tedy spíš o zneužití dodavatelského řetězce než o klasický phishing.

Kdo za tím stojí a co z toho má

Kaspersky našel vazby na skupinu MoYu a proxy sítě PXYEDGE a ProxyForU. Bezpečnostní firma HUMAN Security už dříve popsala, že MoYu prodává přístup do rezidenčních proxy sítí přes službu IpMoYu. Kupci takové sítě pak využívají ke konkrétním podvodům:

• Převzetí cizích účtů
• Zakládání falešných účtů pro spam a manipulaci
• Automatizovaný skupování limitovaného zboží
• Hromadné stahování dat z webů
• Reklamní podvody generující peníze z falešných zobrazení

Obchodní model je prostý: čím víc zařízení v botnetu, tím víc proxy uzlů na prodej. A palubní jednotky, které bývají online celé hodiny denně a mají stabilní datové připojení, jsou pro tento účel ideální.

Týká se to i českých řidičů?

Přímý seznam zasažených aut, značek nebo VIN kódů neexistuje. DoFun ale není výrobce, jehož jméno byste našli na krabici, je to white-label dodavatel. Poskytuje cloud, obchod s aplikacemi, aktualizační službu i mobilní aplikaci CarMate a podporuje celou řadu hardwarových platforem (T5, T7, TS7, TS9, TS10, TS18). Nabízí dokonce možnost, aby si prodejce autorádio označil vlastní značkou. Řidič kupuje „Android autorádio pro Octavii“ a vůbec netuší, že pod kapotou běží software od DoFun.

A právě takové dodatečně montované androidové jednotky se v Česku běžně prodávají. Na tuzemských e-shopech najdete aftermarket autorádia s Androidem, Wi-Fi, GPS a CAN-BUS pro vozy jako Volkswagen Passat B8, Škoda Octavia 2 nebo Škoda Yeti. Zda konkrétní kus obsahuje firmware DoFun, bez nahlédnutí do systémového menu nezjistíte. Veřejné potvrzení českých infekcí chybí, ale typ zařízení, na který útok cílí, se u nás prodává zcela běžně.

Jak zjistit, jestli máte DoFun, a co s tím

Pokud máte aftermarket androidovou palubní jednotku a chcete vědět, jestli běží na softwaru od DoFun, existuje konkrétní cesta. Podle návodu z oficiální komunity CarMate otevřete v menu palubní jednotky 360° Safety → Settings → General setting → software. Tam by měl být údaj o výrobci softwaru. U platforem TS10 a TS18 je postup ověřený, u jiných jednotek může být potřeba hledat v obecném systémovém info nebo se zeptat prodejce.

Příznaky napadení, které může zaregistrovat i laik:

• Infotainment je výrazně pomalejší než dřív
• Systém padá nebo je nestabilní
• Internetové připojení v autě je znatelně pomalejší
• Objevuje se nevyžádaná reklama
• Neobvykle vysoká spotřeba mobilních dat

Kaspersky v tiskové zprávě uvádí, že DoFun po nahlášení problém opravil. Konkrétní číslo opravené verze firmwaru ani veřejný návod k instalaci záplaty ale dodavatel nevydal. Praktické minimum: připojte palubní jednotku k internetu, spusťte kontrolu systémových aktualizací a nechte si od prodejce nebo servisu potvrdit, že máte build s opravou. A pokud jednotku nepotřebujete online, nenechávejte ji trvale připojenou k síti.

Infotainment ano, brzdy ne, ale klid na duši to není

Důležité upřesnění: ve zveřejněné analýze není jediný doklad o tom, že by útočníci převzali řízení, brzdy nebo pohon vozidla. Veškerá popsaná aktivita se odehrává v doméně infotainmentu: sběr identifikátorů zařízení, webové příkazy, reklamní podvody a proxy provoz. To ale neznamená, že jde o banalitu. Kompromitovaná palubní jednotka s přístupem k internetu a potenciálně i k některým komfortním funkcím auta přes CAN-BUS je bezpečnostní problém, který si žádný řidič nepřeje ignorovat.

Kaspersky malware zachytil při monitoringu v červnu 2026, indicie v kódu ukazují minimálně na 8. červen jako datum distribuce. Celá kauza odhaluje zranitelnost, o které většina řidičů neměla tušení: to, co vypadá jako obyčejné autorádio s navigací, může být součástí globální infrastruktury kybernetického podsvětí.