Nuevo malware en unidades de Android Auto
Investigadores en ciberseguridad han alertado sobre una nueva familia de malware que afecta a las unidades centrales de vehículos basadas en Android, específicamente aquellas desarrolladas por DoFun. Este descubrimiento, realizado por Kaspersky en junio de 2026, revela que el malware tiene como objetivo principal servir como un descargador de múltiples etapas para facilitar el fraude publicitario y la creación de una botnet proxy.
Dmitry Kalinin, investigador de seguridad, explicó que el malware se difunde a través de los actualizadores integrados en el firmware de estas unidades centrales. Se trata del primer caso documentado de malware encontrado en este tipo de dispositivos, lo que subraya la creciente preocupación por la seguridad en el ámbito automotriz.
Origen del malware y su atribución
La actividad maliciosa ha sido atribuida con alta confianza al MoYu Group, un colectivo que fue expuesto el año pasado por el equipo de HUMAN Satori Threat Intelligence en relación con un esquema de fraude publicitario más amplio denominado BADBOX. En julio de 2025, Google presentó una demanda contra 25 individuos o entidades en China, acusándolos de operar la botnet BADBOX y su infraestructura.
Las unidades centrales de los vehículos, que combinan funciones multimedia y control parcial sobre ciertas características del automóvil, pueden ser instaladas de fábrica o como parte de una actualización posterior en vehículos más antiguos. Con la popularidad de estas unidades alimentadas por Android, una gran cantidad de aplicaciones, así como malware, pueden ejecutarse en ellas. Esto las convierte en un objetivo atractivo para los actores maliciosos, ya que cuentan con una ranura para tarjeta SIM que permite el acceso a internet para navegación y actualizaciones de software.
Métodos de entrega del malware
Kalinin destacó que los métodos de entrega de este malware son cada vez más diversos, abarcando desde puertas traseras preinstaladas hasta aplicaciones IPTV comprometidas. En este caso específico, se observó un método de entrega sofisticado que explota la funcionalidad legítima de actualización de software de una aplicación del sistema.
El malware se distribuye a través de los mecanismos de actualización integrados en el firmware de múltiples modelos de unidades centrales Android de DoFun. El punto de partida es una aplicación del sistema legítima llamada TWCore ("com.tw.core"), que está diseñada para recopilar análisis y actualizar el software de la unidad central mediante archivos APK utilizando un broker MQTT alojado en el subdominio "cardoor[.]cn". Los archivos APK se descargan en la ruta "/push/apk/" para su instalación.
Los actores detrás de esta campaña han utilizado este canal de actualización para entregar malware desconocido directamente a las unidades, empleando un dropper denominado JarService, el cual ha sido diseñado para evadir detección. Este dropper lanza un cargador que realiza varias acciones, incluyendo enviar información de la infección a uno de los servidores de los atacantes mediante una solicitud HTTP POST.
Cadena de infección y funciones del malware
El servidor responde con un enlace para descargar la siguiente carga útil, que incluye un número de versión. Esta cadena de ataque culmina con la implementación del malware como una aplicación de usuario regular, aunque carece de interfaz y opera de forma encubierta en segundo plano. Se configura para enviar solicitudes POST al C2 (comando y control) cada 90 minutos, informando sobre el dispositivo infectado y su versión de configuración.
Si la configuración está desactualizada, el servidor C2 devuelve una nueva configuración con nuevas direcciones y rutas para enviar solicitudes HTTP. En caso contrario, devuelve identificadores de comando, los cuales los atacantes denominan como productId. El malware soporta múltiples comandos que pueden mostrar anuncios no deseados, ejecutar fraude publicitario y descargar módulos maliciosos adicionales.
Los actores maliciosos han sido detectados utilizando comandos para descargar un módulo proxy inverso llamado zhima, documentado por el Nokia Deepfield Emergency Response Team el mes pasado, el cual se entrega selectivamente a través de aplicaciones IPTV en cajas de Android TV de bajo coste. A pesar de los esfuerzos de los expertos en ciberseguridad y las agencias de ley para desmantelar la botnet BADBOX, esta nueva amenaza pone de manifiesto la vulnerabilidad del ecosistema de las unidades centrales de vehículos y la necesidad urgente de medidas de seguridad más robustas.