Malware Head Unit Mobil: Ketika Update Software Menjadi Senjata
Malware head unit mobil adalah kampanye malware Android yang secara khusus menargetkan sistem infotainment berbasis Android di kendaraan terhubung, dengan menyusup melalui mekanisme pembaruan perangkat lunak tepercaya yang tertanam langsung di firmware head unit, sehingga menjadikan proses update software yang seharusnya aman sebagai jalur infeksi untuk membangun botnet dari perangkat infotainment di dalam mobil.
Inti persoalan di sini bukan sekadar bug teknis, tetapi kegagalan cara kita memandang keamanan sistem infotainment. Selama ini, pembaruan dianggap otomatis aman, sehingga pengguna tidak memeriksa apa pun sebelum menekan tombol "update". Kampanye malware yang dikonfirmasi peneliti keamanan sebagai kasus pertama yang terdokumentasi untuk rantai infeksi jenis ini menunjukkan bahwa asumsi tersebut keliru dan berbahaya. Ketika proses update menjadi ancaman update software, setiap mobil dengan head unit Android berubah dari sekadar perangkat hiburan menjadi titik masuk ke jaringan botnet. Jika kita terus mengabaikan risiko ini, kendaraan terhubung akan menjadi sasaran empuk berikutnya setelah kamera dan kotak streaming yang sebelumnya diambil alih botnet.
TWCore, JarService, dan MoYu Group: Anatomi Serangan pada Kendaraan Terhubung
Rantai infeksi bermula dari TWCore, aplikasi sistem sah yang tugas normalnya mengumpulkan analitik dan memperbarui perangkat lunak head unit dari jarak jauh. Di tangan penyerang, fungsi ini berubah menjadi vektor serangan: saluran pembaruan tepercaya dibajak menggunakan dropper JarService untuk mengirim malware yang sebelumnya tidak dikenal langsung ke perangkat. Ini bukan eksploit murahan, melainkan pemanfaatan infrastruktur resmi yang tertanam di firmware head unit Android buatan DoFun.
Peneliti mengaitkan kampanye ini dengan MoYu Group, aktor ancaman yang dikenal membangun botnet berbahaya berbasis perangkat Android dan terkait erat dengan botnet BadBox. Menurut temuan mereka, botnet mobil ini adalah pertama kalinya jaringan yang terdiri dari sistem infotainment mobil terdeteksi. Itu artinya, MoYu Group tidak sekadar bereksperimen; mereka memperluas strategi yang sudah berhasil di smartphone, tablet, dan perangkat streaming ke ranah kendaraan terhubung. Dengan slot SIM bawaan dan konektivitas internet konstan, head unit menjadi node ideal dalam botnet: selalu online, pengawasan keamanan lemah, dan pemilik mobil jarang curiga.
Risiko Nyata: Dari Data Pengguna ke Permukaan Serangan Kendaraan
Setelah terinstal, malware tidak menampilkan antarmuka apa pun dan beroperasi diam-diam sebagai aplikasi latar belakang. Sikap pasif pengguna terhadap proses pembaruan membuat pola ini sangat efektif: jika tidak ada yang tampak aneh di layar, mayoritas pemilik mobil akan menganggap semuanya baik-baik saja. Padahal, malware menjalankan perintah jarak jauh untuk menampilkan iklan tidak diinginkan dan berbagai bentuk penipuan iklan, sekaligus mengumpulkan informasi sensitif seperti resolusi layar, model perangkat, pengenal jaringan Wi‑Fi, dan alamat MAC. Ini jelas bukan sekadar gangguan visual, tapi pencurian data perangkat yang menjadi fondasi kontrol jarak jauh.
Memang, head unit jarang menyimpan data pribadi paling sensitif, tetapi argumen bahwa risiko keamanan kecil sudah tidak relevan. Head unit sering memiliki slot SIM aktif dan konektivitas internet yang konstan untuk navigasi dan pembaruan rutin, menjadikannya permukaan serangan yang tumbuh dan menarik bagi penyerang. Botnet mobil menimbulkan risiko signifikan karena kendaraan modern semakin terhubung dan dipenuhi perangkat IoT. Kampanye ini menunjukkan bahwa ancaman tidak lagi terbatas pada koneksi Bluetooth atau sistem hiburan klasik, tetapi juga merayap melalui rantai pasokan perangkat lunak yang sah dan infrastruktur pembaruan itu sendiri.
Status Perbaikan dan Celah yang Masih Menganga di Industri Infotainment
Setelah temuan ini, peneliti keamanan secara resmi memberi tahu vendor tentang penyalahgunaan saluran distribusi perangkat lunak sah dan infrastruktur pembaruan head unit. Vendor melaporkan bahwa kerentanan segera diperbaiki dan masalah mendasar telah diselesaikan di sebagian besar perangkat yang terkena dampak. Namun pernyataan tersebut belum menjawab pertanyaan paling penting: seberapa luas skala kampanye dan apakah produsen head unit lain menghadapi paparan serupa, masih belum jelas. Selagi peneliti terus memantau tanda-tanda aktivitas serupa di produsen lain, industri infotainment tetap terbuka terhadap kemungkinan eksploit baru.
Di titik ini, fokus tidak boleh berhenti pada satu nama vendor. Peneliti menekankan bahwa meskipun serangan kali ini menargetkan DoFun, implikasinya jauh lebih luas: seluruh industri otomotif perlu menjadikan keamanan siber sebagai prioritas utama dalam pengembangan sistem infotainment. Kombinasi perangkat Android standar dan mekanisme update jarak jauh membuat hampir setiap head unit berbasis Android berpotensi menjalankan sebagian besar malware Android yang ada. Jika produsen terus mengutamakan fitur dan integrasi sistem sambil menunda audit keamanan rantai pasokan software, maka ancaman update software yang terinfeksi akan bergeser dari insiden langka menjadi masalah struktural yang berulang.
Langkah Perlindungan untuk Pemilik Kendaraan Terhubung
Bagi pemilik mobil, menganggap head unit sebagai "hanya radio canggih" adalah kesalahan yang mahal. Head unit adalah komputer Android dengan koneksi internet permanen, dan harus diperlakukan seperti itu. Pengguna yang memiliki head unit Android, terutama dari merek DoFun, disarankan untuk memantau pembaruan perangkat lunak dan memastikan perangkat mereka mendapatkan patch keamanan terbaru. Peneliti menyarankan agar perangkat lunak head unit diperbarui secara teratur dan aktivitas mencurigakan—seperti aplikasi latar belakang tanpa alasan jelas atau iklan agresif—dipantau secara berkala.
Menurut peneliti, "Kami memberi tahu vendor tentang skema distribusi, dan mereka kemudian melaporkan memperbaiki masalah keamanan". Namun, meski kerentanan diketahui sudah ditambal, pengguna tetap perlu berhati-hati terhadap aplikasi yang berjalan di latar belakang tanpa antarmuka terlihat. Keamanan kendaraan terhubung kini menjadi perhatian mendesak; pemilik mobil harus melihat sistem infotainment sebagai bagian dari permukaan serangan kendaraan, bukan fitur dekoratif. Kesimpulannya, perlindungan kendaraan terhubung dimulai dari kewaspadaan terhadap pembaruan software, pemahaman risiko botnet, dan kesediaan untuk mengaudit perangkat yang ada di dashboard, sama seriusnya dengan mengaudit kunci pintu dan sistem rem.
