Se ha descubierto una campaña de malware para Android que utiliza los sistemas de actualización de software integrados en las pantallas de infoentretenimiento de los vehículos. En lugar de engañar al conductor para instalar una aplicación, los atacantes aprovechan la ruta de actualización oficial para desplegar un descargador multietapa diseñado para el fraude publicitario y la creación de una botnet de proxy.

Una campaña de malware de Android recién descubierta ha convertido las pantallas de infoentretenimiento de los coches en un objetivo inesperado.

En lugar de engañar a los conductores para que instalen una aplicación sospechosa, los atacantes utilizaron la ruta de actualización de software ya integrada en las unidades principales basadas en Android.

El malware es un descargador de múltiples etapas para el fraude publicitario y una botnet de proxy. Se dirige a pantallas de vehículos conectados que gestionan la música, la navegación y algunas funciones del vehículo, explotando el mismo acceso a internet que permite las actualizaciones rutinarias de software.

Esto convierte una función de mantenimiento confiable en el punto de entrada para una operación criminal más amplia. Analistas de Securelist identificaron el malware mientras monitoreaban amenazas de Android en junio de 2026 y reconstruyeron la cadena completa de infección.

Los investigadores lo llamaron el primer malware de unidad principal documentado que utiliza una ruta de infección específica del dispositivo y lo atribuyeron al Grupo MoYu, vinculado a BADBOX.

Securelist afirmó en un informe que el diseño del firmware afectado permitió la distribución, mientras que el proveedor informó que ya había solucionado los problemas de seguridad. El hallazgo amplía la preocupación más allá de los teléfonos y televisores, ya que las pantallas conectadas se están convirtiendo en un estándar en los vehículos.

Infectan pantallas de coches Android

El ataque se centra en TWCore, una aplicación de sistema legítima que recopila análisis y actualiza el software de la unidad principal.

Un bróker MQTT en la infraestructura de cardoor[.]cn enviaba detalles de archivos APK para su descarga. Un ajuste llamado installNotExists podía instruir a TWCore para instalar una aplicación que originalmente no estaba en el dispositivo, creando la apertura para el paquete malicioso.

La telemetría mostró que el malware desconocido era colocado en la caché de actualización de TWCore e instalado por el paquete com.tw.core.

El primer componente, JarService, no tiene interfaz de usuario. Desencripta los datos integrados e inicia el siguiente payload, manteniendo la infección fuera de la vista del conductor.

Un cargador de segunda etapa informa entonces la información del dispositivo a un servidor del atacante y recibe un enlace para el siguiente componente.

La tercera etapa realiza comprobaciones a intervalos regulares, recopila información como el modelo del dispositivo, la resolución de pantalla, el nombre de la red Wi-Fi y la dirección MAC, y luego recibe nuevos datos de configuración o comandos.

Esta cadena difiere de las estafas telefónicas habituales porque no comienza con un mensaje de texto falso, un anuncio malicioso o un señuelo en la tienda de aplicaciones.

Infecciones anteriores de dispositivos Android de BADBOX mostraron cómo el firmware comprometido puede exponer dispositivos conectados antes de que los usuarios se den cuenta de que algo va mal. Este nuevo caso traslada ese riesgo directamente al entorno del vehículo.

De la pantalla a la red proxy

El payload final puede mostrar anuncios, generar clics fraudulentos, descargar más código y abrir contenido web en segundo plano.

Los investigadores descubrieron que los operadores utilizaban comandos para obtener un módulo de proxy inverso llamado zhima, lo que permitía que una unidad principal infectada retransmitiera tráfico para otra persona. Esto convierte la pantalla de un coche en parte de una red oculta.

La atribución se basa en la nomenclatura del malware, la infraestructura compartida y la coincidencia con actividades previas vinculadas al Grupo MoYu. Los investigadores también vincularon la operación a una aplicación maliciosa de TV-box y observaron infraestructura común con campañas asociadas a BADBOX.

Puedes comparar el patrón con la botnet de Android TV Vo1d, que también demostró la escala que los dispositivos Android conectados pueden ofrecer a los atacantes.

El informe no muestra que el malware controle directamente la dirección, el frenado u otros sistemas críticos de seguridad. Aun así, cualquier dispositivo de infoentretenimiento comprometido puede crear problemas de privacidad, conectividad y confianza.

El riesgo automotriz más amplio queda claro con un fallo de infoentretenimiento del Nissan Leaf, donde los investigadores describieron cómo una debilidad independiente podría conducir desde un sistema interno del coche hacia las funciones del vehículo.

Como propietario, debes instalar solo actualizaciones suministradas a través de canales verificados del fabricante o concesionario, preguntar si tu unidad principal ha recibido la corrección de seguridad pertinente y evitar conectar software desconocido o soportes USB.

Los fabricantes deben restringir los servicios de actualización a paquetes firmados, validar cada instrucción remota y mantener una forma clara de revocar actualizaciones maliciosas.

Esto es esencial cuando una pantalla del salpicadero es también un ordenador conectado a internet. También deberías monitorear los avisos del fabricante e informar rápidamente sobre instalaciones de aplicaciones inexplicables, solicitudes de red o comportamientos extraños del sistema.

Fuentes:
https://cybersecuritynews.com/hackers-infect-android-car-screens/