Investigadores de Kaspersky detectaron un nuevo malware diseñado para infectar pantallas Android de vehículos desarrolladas por DoFun. El ataque utiliza el sistema de actualizaciones legítimo del dispositivo para instalar un botnet destinado al fraude publicitario y la creación de proxies. Se atribuye esta actividad al grupo MoYu, vinculando el caso con la red maliciosa conocida como BADBOX.





Investigadores de ciberseguridad han detectado una nueva familia de malware diseñada específicamente para infectar el firmware de las unidades principales (head units) de vehículos basadas en Android desarrolladas por DoFun.

Kaspersky, que descubrió la amenaza en junio de 2026, afirmó que el objetivo final del malware es servir como un descargador de múltiples etapas para permitir el fraude publicitario y la creación de una botnet de proxies.

"El malware se propagó a través de los actualizadores integrados del firmware de las unidades principales automotrices basadas en Android", señaló el investigador de seguridad Dmitry Kalinin. "Este es el primer caso documentado de malware encontrado en una unidad principal de coche con una cadena de infección específica para este tipo de dispositivo".

La actividad ha sido atribuida con alta confianza al Grupo MoYu, que fue desenmascarado el año pasado por el equipo de Inteligencia de Amenazas e Investigación de HUMAN Satori como parte de un esquema más amplio de fraude publicitario y proxies residenciales denominado BADBOX. En julio de 2025, Google presentó una demanda contra 25 personas o entidades anónimas en China por operar presuntamente la botnet BADBOX y su infraestructura.

Una unidad principal de coche es un centro neurálgico que combina funciones multimedia con un control parcial sobre ciertas funciones del vehículo. Puede venir instalada de fábrica o colocarse en vehículos más antiguos como parte de una actualización posterior. Debido a que las unidades principales con Android se han vuelto populares tanto en adaptaciones posteriores como en vehículos de fábrica, una gran cantidad de aplicaciones estándar y, por extensión, el malware, también pueden ejecutarse en ellas.

Esto, a su vez, las convierte en un objetivo emergente para los atacantes, ya que cuentan con una ranura para tarjeta SIM que permite el acceso a Internet para la navegación y las actualizaciones de software.

"Los métodos de entrega de este tipo de malware se están volviendo muy variados, desde puertas traseras preinstaladas hasta aplicaciones de IPTV comprometidas", dijo Kalinin en una declaración. "En este caso investigado, observamos un método de entrega aún más sofisticado que explota la funcionalidad legítima de actualización de software de una aplicación del sistema".

Específicamente, esto implica distribuir el malware a través de los mecanismos de actualización integrados en el firmware de múltiples modelos de unidades principales basadas en Android impulsadas por DoFun. Tras una divulgación responsable, el problema que impulsaba el abuso de la distribución de software ha sido solucionado.

El punto de partida es una aplicación legítima del sistema llamada TWCore ("com.tw.core"), diseñada para recopilar análisis y actualizar el software de la unidad principal en forma de archivos APK mediante un agente de mensajes MQTT alojado en el subdominio "cardoor[.]cn". El archivo APK se descarga en la ruta "/push/apk/" para su instalación.

Se dice que los actores de amenazas detrás de la campaña han convertido este canal de actualización en un arma para entregar malware previamente desconocido directamente a las unidades principales utilizando un dropper llamado JarService, mientras toman medidas para evadir la detección. El dropper es responsable de lanzar un cargador que realiza las siguientes acciones:



* Envía información del implante a uno de los servidores de los atacantes mediante una solicitud HTTP POST.
* El servidor responde con un enlace para descargar la carga útil de la siguiente etapa ("144.217.243[.]201/vr34der34/dex3.68.png").

El nombre de la carga útil incluye una referencia a un número de versión ("dex3.68"), lo que permitió a Kaspersky recuperar siete variantes distintas que se remontan a la "3.57" simplemente probando otros números de versión.

La cadena de ataque termina con el despliegue del malware como una aplicación de usuario regular. Sin embargo, carece de interfaz de usuario y opera secretamente en segundo plano. Está configurado para enviar una solicitud POST al endpoint de comando y control (C2) ("/cpc/api/task") cada 90 minutos por defecto, junto con información sobre el dispositivo infectado y su versión de configuración.

"Si la configuración está desactualizada, el servidor C2 devuelve una configuración actualizada que contiene nuevas direcciones C2 y nuevas rutas para enviar solicitudes HTTP", afirmó Kaspersky. "Si la versión de la configuración no necesita actualizarse, el servidor C2 devuelve identificadores de comandos enteros, que los atacantes denominan productId".

"El troyano mapea cada identificador a información de comando, que almacena como un objeto JSON serializado utilizando la API SharedPreferences".

El malware admite nueve comandos capaces de mostrar anuncios no deseados, ejecutar fraude publicitario y descargar módulos maliciosos adicionales. También permite a los atacantes recibir información detallada del dispositivo, incluyendo la resolución de pantalla, el modelo del dispositivo, el identificador de la red Wi-Fi conectada y la dirección MAC. La lista de comandos es la siguiente:

* return: para devolver un valor de SharedPreferences.
* copy: para establecer el contenido del portapapeles.
* http: para realizar una solicitud HTTP POST/GET a un recurso especificado.
* web: para abrir un enlace en WebView y ejecutar código JavaScript arbitrario dentro de él.
* loadlib (no implementado completamente).
* loadlib2: para descargar y ejecutar código arbitrario desde una URL.
* loadlib3 (no implementado completamente).
* deeplink: para abrir una URL en el navegador.
* traceroute: para comprobar la disponibilidad de un recurso mediante un ping ICMP.

Se ha descubierto que los actores de amenazas utilizan los comandos "loadlib2" e "http" para descargar "zhima", un módulo de proxy inverso documentado por el Equipo de Respuesta de Emergencia de Nokia Deepfield el mes pasado y entregado selectivamente a través de apps de IPTV instaladas en cajas de Android TV baratas.

"A pesar de los esfuerzos de los expertos en ciberseguridad y las agencias policiales para cerrar la botnet BADBOX, los actores individuales asociados a ella continúan sus actividades maliciosas, infectando dispositivos en todo el mundo", dijo Kalinin.

"Este malware se ha convertido en la primera aplicación maliciosa que ataca específicamente las unidades principales de los coches a través de una cadena de infección diseñada explícitamente para estos sistemas de vehículos. Esto sirve como advertencia de que las plataformas automotrices modernas requieren urgentemente una protección robusta contra el malware".

Fuente:
THN