เตือนภัยจอ Android ติดรถยนต์ราคาถูกจากจีน แฝงมัลแวร์ Botnet

01 Oct 2026

มัลแวร์บนอุปกรณ์ Android ไม่ได้จำกัดอยู่เพียงสมาร์ตโฟนหรือแท็บเล็ตเท่านั้น เพราะล่าสุดมีการตรวจพบแคมเปญมัลแวร์ที่มุ่งเป้าไปยังชุดเครื่องเสียงติดรถยนต์ หรือ Car Head Unit ที่ใช้ระบบปฏิบัติการ Android โดยอุปกรณ์ราคาถูกบางรุ่นถูกพบว่ามีส่วนประกอบที่สามารถเปิดทางให้ผู้โจมตีติดตั้งมัลแวร์เพิ่มเติมจากระยะไกลได้

รายงานจาก Help Net Security ระบุว่า นักวิจัยด้านความปลอดภัยจาก Kaspersky ตรวจพบแคมเปญดังกล่าว ซึ่งมีลักษณะการเปลี่ยนอุปกรณ์ของเหยื่อให้กลายเป็นส่วนหนึ่งของ Botnet เพื่อใช้ในการโจมตีระบบหรือโครงสร้างพื้นฐานอื่นต่อไป

แม้ชุดเครื่องเสียงติดรถยนต์อาจดูไม่ใช่เป้าหมายที่มีมูลค่าสูงสำหรับผู้โจมตีเมื่อเทียบกับอุปกรณ์ Android ประเภทอื่น แต่เครื่องเหล่านี้มักรองรับการเชื่อมต่ออินเทอร์เน็ตผ่านซิมการ์ด เพื่อใช้งานฟีเจอร์ต่าง ๆ เช่น ระบบนำทางและการอัปเดตซอฟต์แวร์ ทำให้สามารถกลายเป็นเครื่องมือสำหรับเพิ่มจำนวนอุปกรณ์ในเครือข่ายมัลแวร์ได้

นอกจากนี้ อุปกรณ์ประเภทดังกล่าวยังอาจทำงานอยู่ภายในรถเป็นเวลานานโดยที่ผู้ใช้งานไม่ทันสังเกตความผิดปกติ จึงทำให้มัลแวร์สามารถแฝงตัวอยู่บนอุปกรณ์ได้เป็นระยะเวลานาน

คาดเป็น Supply Chain Attack จากกลุ่ม MoYu

นักวิจัย Kaspersky ระบุว่ามีความมั่นใจสูงว่าเหตุการณ์นี้เกี่ยวข้องกับการโจมตีห่วงโซ่อุปทาน หรือ Supply Chain Attack โดยเชื่อมโยงไปยังกลุ่มแฮกเกอร์ MoYu Group ซึ่งเคยถูกระบุว่าอยู่เบื้องหลังการแพร่กระจายของ Botnet ที่ชื่อ BADBOX ผ่านการฝังมัลแวร์ลงในเฟิร์มแวร์ของอุปกรณ์ราคาถูก

สำหรับกรณีล่าสุด อุปกรณ์ที่ได้รับผลกระทบเป็นชุดเครื่องเสียงที่ใช้เฟิร์มแวร์ของ DoFun และมี System App ชื่อ TWCore ติดตั้งมาจากระบบ โดยแอปพลิเคชันดังกล่าวมีหน้าที่เกี่ยวกับการเก็บข้อมูลวิเคราะห์ รวมถึงการดาวน์โหลดและติดตั้งอัปเดตซอฟต์แวร์ของชุดเครื่องเสียง

ประเด็นสำคัญอยู่ที่ TWCore สามารถรับคำสั่งจากโดเมน cardoor[.]cn เพื่อกำหนดว่าจะให้ติดตั้งไฟล์แอปพลิเคชันใดลงบนอุปกรณ์

ในคำสั่งดังกล่าวมีฟิลด์ชื่อ installNotExists ซึ่งสามารถกำหนดค่าเป็น True หรือ False ได้ หากกำหนดเป็น False ระบบจะเปิดให้ติดตั้งแอปพลิเคชันที่ไม่ได้มีอยู่เดิมบนอุปกรณ์

ช่องทางดังกล่าวจึงอาจกลายเป็นจุดเสี่ยง หากผู้โจมตีสามารถเข้าถึงเซิร์ฟเวอร์และส่งคำสั่งให้ TWCore ดาวน์โหลดหรือติดตั้งแอปพลิเคชันอื่นเพิ่มเติม ก็อาจนำไปสู่การติดตั้งมัลแวร์โดยที่ผู้ใช้งานไม่รู้ตัว

มัลแวร์ทำงานเป็นขั้นตอนก่อนติดตั้ง Payload

กระบวนการโจมตีเริ่มจากการดาวน์โหลดมัลแวร์ Loader ที่ชื่อ JarService ซึ่งทำหน้าที่เป็นตัวกลางเพื่อเชื่อมต่อไปยัง Loader ในขั้นถัดไป

จากนั้น Loader ตัวที่สองจะรวบรวมข้อมูลพื้นฐานของอุปกรณ์และส่งกลับไปยังเซิร์ฟเวอร์ควบคุม ก่อนรับลิงก์สำหรับดาวน์โหลด Loader ตัวที่สาม

เมื่อ Loader ตัวที่สามทำงาน จะทำหน้าที่ดาวน์โหลด Payload ซึ่งเป็นมัลแวร์หลัก พร้อมเก็บข้อมูลรายละเอียดของอุปกรณ์ เช่น ความละเอียดหน้าจอ รุ่นอุปกรณ์ เครือข่าย Wi-Fi ที่เชื่อมต่อ และ MAC Address รวมถึงรอรับคำสั่งจากเซิร์ฟเวอร์ควบคุม

คำสั่งที่นักวิจัยพบว่ามัลแวร์รองรับ ได้แก่

return — ดึงข้อมูลจากอุปกรณ์ที่ติดเชื้อส่งกลับไปยังเซิร์ฟเวอร์

copy — คัดลอกข้อมูลจาก Clipboard

http — ส่ง Request ไปยังเซิร์ฟเวอร์

web — เปิดลิงก์ผ่าน Hidden Web Browser เพื่อเรียกใช้ JavaScript

loadlib — หน้าที่ของคำสั่งนี้ยังไม่สามารถระบุได้

loadlib2 — ดาวน์โหลดและเรียกใช้โค้ดเพิ่มเติม

loadlib3 — หน้าที่ของคำสั่งนี้ยังไม่สามารถระบุได้

deeplink — เปิดลิงก์ผ่านเว็บเบราว์เซอร์ของอุปกรณ์

traceroute — ตรวจสอบว่าสามารถเข้าถึงปลายทางที่กำหนดได้หรือไม่

อย่างไรก็ตาม จากการตรวจสอบของทีมวิจัย พบว่าคำสั่งที่ถูกใช้งานจริงมีเพียง loadlib2 และ http โดยถูกนำมาใช้เพื่อดาวน์โหลดมัลแวร์ชื่อ zhima

zhima เป็นมัลแวร์ประเภท Reverse Proxy Botnet ซึ่งสามารถนำที่อยู่ IP ของอุปกรณ์ที่ติดเชื้อไปใช้เป็นส่วนหนึ่งของโครงสร้างสำหรับการก่ออาชญากรรมทางไซเบอร์ได้

DoFun รับทราบและดำเนินการแก้ไข

Kaspersky ระบุว่าได้แจ้งปัญหาที่ค้นพบให้ DoFun ทราบแล้ว และได้รับการยืนยันกลับมาว่าบริษัทได้ดำเนินการปิดช่องโหว่ที่เกี่ยวข้องเป็นที่เรียบร้อย

กรณีนี้สะท้อนให้เห็นว่าอุปกรณ์ Android ราคาประหยัดที่เชื่อมต่ออินเทอร์เน็ตไม่ได้มีความเสี่ยงเฉพาะจากแอปพลิเคชันที่ผู้ใช้ติดตั้งเองเท่านั้น แต่ยังรวมถึงซอฟต์แวร์ระบบและเฟิร์มแวร์ที่ติดมากับอุปกรณ์ตั้งแต่ต้น โดยเฉพาะเมื่ออุปกรณ์สามารถดาวน์โหลดและติดตั้งซอฟต์แวร์จากเซิร์ฟเวอร์ระยะไกลได้

ที่มา: www.helpnetsecurity.com