Investigadores de seguridad han descubierto una familia de malware sin precedentes que infecta directamente las unidades multimedia de vehículos (head units) — el módulo central que integra entretenimiento, navegación y, en algunos casos, controles parciales del automóvil — aprovechando los propios mecanismos de actualización del firmware Android desarrollado por el fabricante chino DoFun. Se trata del primer caso documentado de malware con una cadena de infección específicamente diseñada para plataformas automotivas integradas, un hito preocupante que señala que la superficie de ataque de la industria automotiva digitalizada se está expandiendo más allá de los tradicionales sistemas de infoentretenimiento.
El descubrimiento fue realizado por el equipo del Kaspersky Global Research and Analysis Team (GReAT) en junio de 2026 y hecho público el 21 de agosto de 2026. Los investigadores, liderados por el especialista Dmitry Kalinin, rastrearon una campaña que utiliza la propia funcionalidad de actualización del firmware como vector de ataque, eludiendo todas las medidas de seguridad convencionales que un usuario o el sistema Android esperarían encontrar.
El vector de infección es particularmente sofisticado porque explota una aplicación legítima del sistema — llamada TWCore (com.tw.core) — que ya posee privilegios de instalación silenciosa. Esta aplicación es responsable de recolectar métricas de análisis y recibir actualizaciones de firmware en formato APK, utilizando un broker de mensajes MQTT alojado en el subdominio cardoor.cn. En condiciones normales, el TWCore descarga un APK, verifica si la aplicación ya está instalada y, en caso negativo, solicita al usuario la aprobación antes de la instalación. El malware alteró este comportamiento modificando un parámetro llamado installNotExists: cuando se define como falso, el actualizador verifica la presencia de la aplicación; cuando es verdadero (lo que el malware hace), instala el APK arbitrario sin ninguna notificación ni consentimiento del usuario.
El malware en sí comienza con un dropper llamado JarService, que se instala silenciosamente por la propia unidad multimedia. Una vez instalado, JarService ejecuta un loader que despliega un módulo malicioso sin interfaz gráfica, operando completamente en segundo plano. El componente final envía solicitudes POST periódicas — cada 90 minutos por defecto — a un endpoint de comando y control (C2) ubicado en /cpc/api/task, transmitiendo información detallada del dispositivo infectado, incluyendo resolución de pantalla, modelo del dispositivo, identificador de la red Wi-Fi conectada y dirección MAC.
Una vez comprometida, la unidad multimedia soporta nueve comandos diferentes enviados por el C2. Estos comandos permiten mostrar anuncios no solicitados en la pantalla del vehículo, ejecutar operaciones automatizadas de fraude publicitario y descargar módulos maliciosos adicionales. Uno de los módulos más significativos es "Zhima", un módulo de proxy inverso anteriormente documentado por el Nokia Deepfield Emergency Response Team como siendo distribuido a través de aplicaciones de IPTV instaladas en cajas Android TV económicas. La conexión entre las dos campañas sugiere que el mismo grupo de amenazas opera en múltiples vectores integrados.
La Kaspersky atribuye la campaña al MoYu Group, un actor de amenazas ya asociado con la notoria botnet BadBox. El BadBox es una infraestructura de botnet que tiene como objetivo dispositivos integrados y sistemas de información vehiculares, y la transición hacia head units automotivas representa una evolución natural de la superficie de ataque de este grupo. La motivación primaria de la campaña es financiera — fraude publicitario y reclutamiento de botnet de proxy para ocultación de tráfico malicioso — y no la compromisión directa de sistemas críticos del vehículo, como frenos o dirección. Sin embargo, la existencia de esta cadena de infección en hardware automotivo plantea cuestiones serias que van más allá de la privacidad del propietario.
Ingenieros que trabajan con plataformas automotivas basadas en Android deben considerar cualquier actualizador OTA que consuma instrucciones remotas como un objetivo de alto valor, y no como infraestructura pasiva. El patrón "actualizador como dropper" es portable a cualquier proveedor cuyo cliente de actualización confíe en instrucciones push remotas, lo que convierte este descubrimiento en un template de ataque genérico, no solo un incidente aislado.
El fabricante DoFun fue notificado de la vulnerabilidad y, según los investigadores, ya ha corregido los problemas de seguridad. No obstante, la pregunta fundamental permanece: ¿cuánta superficie de actualización remota debe ser permitida en dispositivos integrados que poseen acceso físico a la red del vehículo? La respuesta definirá el futuro de la seguridad automotiva.
Fuentes: The Hacker News, Kaspersky, Else If
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
