Malware infecta unidades Android de vehículos

Investigadores de ciberseguridad han descubierto una nueva familia de malware para unidades principales de vehículos basadas en Android, una amenaza que destaca por utilizar los propios mecanismos legítimos de actualización del sistema para infiltrarse en dispositivos automotrices. El hallazgo representa un nuevo escenario dentro de la evolución del malware para Android y demuestra que las plataformas digitales integradas en los vehículos también se están convirtiendo en objetivos atractivos para los ciberdelincuentes.

La amenaza fue descubierta por Kaspersky en junio de 2026 y, según los investigadores, su propósito final es desplegar una cadena de malware de varias etapas capaz de facilitar fraude publicitario, descarga de módulos maliciosos y creación de una botnet de proxies.

De acuerdo con el investigador de seguridad Dmitry Kalinin, se trata del primer caso documentado de una campaña en la que un malware llega a una unidad principal de automóvil mediante una cadena de infección diseñada específicamente para este tipo de dispositivo.

Malware dirigido a unidades principales Android de vehículos

Las unidades principales, también conocidas como head units, se han convertido en un componente habitual de los vehículos modernos. Estos sistemas funcionan como centros multimedia y pueden ofrecer navegación GPS, reproducción de contenido, conectividad a Internet, aplicaciones Android y, dependiendo del modelo, acceso parcial a determinadas funciones del automóvil.

El problema es que la creciente adopción de Android en sistemas de entretenimiento automotriz también amplía la superficie de ataque. Esto resulta especialmente relevante en unidades instaladas posteriormente como sistemas de actualización para vehículos antiguos, donde pueden utilizarse componentes Android similares a los de otros dispositivos conectados.

Además, muchas de estas unidades incorporan conectividad mediante tarjetas SIM, lo que les proporciona acceso directo a Internet para servicios de navegación, descarga de aplicaciones y actualizaciones de firmware.

Esta combinación de conectividad permanente, capacidad de ejecutar aplicaciones y mecanismos de actualización convierte a las unidades principales Android en un objetivo potencial para campañas de malware.

El mecanismo de infección aprovecha las actualizaciones

Uno de los aspectos más preocupantes de esta campaña es el método utilizado para distribuir el malware. Los atacantes no dependieron únicamente de aplicaciones fraudulentas o instalaciones manuales, sino que aprovecharon una función legítima de actualización de software integrada en determinados sistemas de unidades principales basadas en Android desarrollados por DoFun.

La aplicación legítima involucrada en el proceso es TWCore, identificada como com.tw.core. Esta aplicación está diseñada para recopilar información analítica y gestionar actualizaciones de software mediante archivos APK.

El sistema utiliza un broker de mensajes MQTT para gestionar las comunicaciones y descargar los paquetes. Posteriormente, el APK se almacena en un directorio de caché externo asociado con TWCore antes de proceder a su instalación.

Según Kaspersky, los actores maliciosos consiguieron abusar de este mecanismo para distribuir un malware hasta las unidades principales afectadas.

Tras la divulgación responsable del problema, la vulnerabilidad que permitía abusar de este mecanismo de distribución fue abordada. Sin embargo, el caso demuestra los riesgos asociados con los sistemas de actualización OTA y los componentes de software con privilegios dentro de dispositivos conectados.

JarService inicia una cadena de malware de varias etapas

El ataque comienza con un componente denominado JarService, utilizado como dropper para iniciar la siguiente fase de la infección.

Una vez ejecutado, el malware recopila información sobre el dispositivo y la envía mediante una solicitud HTTP POST a una infraestructura controlada por los atacantes. El servidor responde posteriormente con una dirección desde la que se puede descargar una nueva carga maliciosa.

Kaspersky identificó diferentes versiones de estos componentes, cuyos nombres incorporaban referencias numéricas como dex3.68. Al modificar el número de versión, los investigadores pudieron identificar varias variantes adicionales de la carga.

Este procedimiento evidencia que los operadores mantienen una infraestructura modular, en la que diferentes componentes pueden descargarse posteriormente en función de las necesidades de la campaña.

La utilización de una cadena de infección por etapas también puede dificultar la detección, ya que el componente inicialmente instalado no necesariamente contiene todas las funciones maliciosas. En su lugar, puede actuar como un mecanismo para establecer comunicación con los servidores de los atacantes y descargar nuevas capacidades.

El malware opera de forma silenciosa

Una vez instalada la carga final, esta aparece como una aplicación de usuario convencional, pero carece de una interfaz visible. Su actividad se desarrolla principalmente en segundo plano, lo que reduce las posibilidades de que el propietario del vehículo detecte la infección.

El malware establece comunicación periódica con un servidor de comando y control (C2). Por defecto, realiza solicitudes aproximadamente cada 90 minutos y envía información relacionada con el dispositivo y su configuración.

El servidor puede proporcionar una configuración actualizada que incluye nuevas direcciones C2 y rutas para las comunicaciones HTTP. Si no es necesario actualizar la configuración, el servidor devuelve identificadores de comandos, conocidos por los operadores como productId.

Los identificadores se utilizan para determinar qué acciones debe ejecutar el malware en el dispositivo infectado.

Nueve comandos amplían las capacidades del troyano

Los investigadores identificaron nueve comandos compatibles con el malware. Estas funciones permiten a los operadores controlar diferentes aspectos del dispositivo y descargar módulos adicionales.

Entre sus capacidades se encuentran:

• return: recupera valores almacenados en SharedPreferences.
• copiar: modifica el contenido del portapapeles.
• http: ejecuta solicitudes HTTP GET o POST contra recursos especificados.
• web: abre páginas mediante WebView y permite ejecutar código JavaScript.
• loadlib: función destinada a cargar bibliotecas, aunque no está completamente implementada.
• loadlib2: descarga y ejecuta código desde una URL.
• loadlib3: función de carga adicional que tampoco está completamente implementada.
• deeplink: abre determinadas URL en el navegador.
• traceroute: comprueba la disponibilidad de recursos mediante solicitudes de red.

El malware también puede recopilar información detallada sobre el dispositivo infectado, incluyendo el modelo, resolución de pantalla, identificador de la red Wi-Fi y dirección MAC.

Esta capacidad de reconocimiento proporciona a los operadores información suficiente para determinar qué dispositivos están infectados y adaptar posteriormente las acciones ejecutadas.

El objetivo final: fraude publicitario y botnet proxy

Uno de los elementos más importantes de la investigación es la relación entre esta campaña y actividades asociadas con el ecosistema BADBOX.

Kaspersky atribuye con un alto nivel de confianza la actividad al Grupo MoYu, relacionado con operaciones previamente vinculadas a BADBOX, una infraestructura utilizada para infectar dispositivos Android y convertirlos en recursos para actividades como fraude publicitario y servicios de proxy residencial.

Los investigadores descubrieron que los operadores utilizan los comandos loadlib2 y http para descargar un módulo denominado zhima, identificado como un componente de proxy inverso.

Esto significa que una unidad principal comprometida podría convertirse en un nodo dentro de una infraestructura controlada remotamente, utilizando su conexión a Internet para realizar determinadas comunicaciones en nombre de terceros.

El modelo resulta especialmente preocupante porque el usuario puede no percibir un comportamiento anormal. Mientras la unidad continúa realizando sus funciones habituales, el malware puede permanecer activo en segundo plano y utilizar los recursos de red del dispositivo.

BADBOX demuestra que el problema va más allá de los televisores y decodificadores

La actividad asociada con BADBOX ya había sido observada en distintos dispositivos Android económicos, incluidos televisores y decodificadores. Sin embargo, el descubrimiento de una cadena de infección específicamente diseñada para unidades principales automotrices amplía considerablemente el alcance potencial de este tipo de amenazas.

Los investigadores advierten que los operadores maliciosos continúan buscando dispositivos conectados que puedan ser incorporados a sus redes.

El caso también pone de manifiesto un problema fundamental de seguridad: un dispositivo aparentemente dedicado al entretenimiento puede convertirse en un punto de entrada para una infraestructura criminal cuando dispone de conexión permanente a Internet y capacidad para instalar software de forma remota.

Un nuevo desafío para la seguridad automotriz

Aunque el malware analizado está principalmente orientado al fraude publicitario y a la creación de proxies, su aparición plantea preguntas más amplias sobre la seguridad de los sistemas Android instalados en vehículos.

Los fabricantes y desarrolladores deben considerar que las unidades principales modernas ya no son simples reproductores multimedia. Son plataformas conectadas que incorporan procesadores, almacenamiento, sistemas operativos, aplicaciones, conectividad inalámbrica y mecanismos de actualización remota.

Por ello, proteger estos dispositivos requiere controles similares a los aplicados en otros equipos conectados a Internet. Entre las medidas más importantes se encuentran la verificación criptográfica de las actualizaciones, protección de los canales OTA, control estricto de las aplicaciones con privilegios, monitorización del tráfico de red y mecanismos de detección de comportamiento anómalo.

El descubrimiento de este malware demuestra que los atacantes están ampliando progresivamente sus objetivos. Después de los televisores, decodificadores y otros dispositivos Android conectados, las unidades principales de los automóviles aparecen como un nuevo territorio para las campañas de malware.

La principal lección es clara: la conectividad de los vehículos también debe considerarse una superficie de ataque. Una actualización de software aparentemente legítima puede convertirse en el vehículo de una infección cuando los mecanismos de distribución no cuentan con controles de seguridad adecuados.

El caso investigado por Kaspersky constituye, por tanto, una importante advertencia para fabricantes, proveedores de sistemas Android automotrices y usuarios. A medida que los vehículos incorporen más funciones digitales y conectividad permanente, la protección del firmware y de los mecanismos de actualización será fundamental para evitar que las plataformas automotrices terminen formando parte de redes maliciosas globales.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login