Investigadores de Kaspersky han descubierto el primer caso documentado de malware para Android diseñado específicamente para infectar unidades centrales (head units) de vehículos, un hallazgo que marca un precedente inquietante en la convergencia entre ciberseguridad automotriz y amenazas móviles. El descubrimiento, realizado en junio de 2026 mientras el equipo monitorizaba amenazas Android, reveló una cadena de infección multietapa cuyo propósito final es el fraude publicitario y la creación de una red de proxies botnet.
El hallazgo resultó atípico desde el inicio: la aplicación maliciosa se instalaba como cualquier app de usuario, pero sin interfaz gráfica ni intento alguno de disfrazarse de software legítimo. Esa característica llevó a los investigadores a sospechar que el malware llegaba a los dispositivos sin conocimiento de los usuarios, hipótesis que confirmaron tras reconstruir toda la cadena de infección.
Las unidades centrales son sistemas que combinan funciones multimedia con control parcial sobre ciertas funciones del vehículo. Muchas funcionan con Android, una elección práctica para los fabricantes porque el código fuente del sistema ya contempla casos de uso automotriz. La mayoría de aplicaciones desarrolladas para Android pueden ejecutarse en estas unidades, y el malware no es la excepción. Los analistas de Kaspersky señalan que, dado que estas unidades suelen incluir ranuras para tarjetas SIM y conectividad a internet —para navegación y actualizaciones—, pero almacenan poca información valiosa para un atacante, el escenario más probable es el reclutamiento del dispositivo para una botnet.
El vector de ataque se apoyó en el actualizador integrado de firmware de unidades centrales de la marca DoFun. La aplicación legítima TWCore, responsable de recopilar analíticas y actualizar el software del sistema, recibía instrucciones a través de un broker MQTT alojado en el subdominio cardoor[.]cn. Un campo denominado installNotExists permitía instalar aplicaciones que no estaban presentes originalmente en el dispositivo, lo que abrió la puerta a la infección.
La cadena de malware operaba en tres etapas. La primera era un dropper llamado JarService, una pequeña aplicación sin interfaz que descifraba bloques de datos cifrados con XOR. La segunda etapa consistía en un loader que contactaba con servidores de comando y control (C2) mediante peticiones POST y descargaba el payload de la siguiente fase. Los investigadores identificaron hasta siete variantes distintas del loader, la más antigua con número de versión 3.57, lo que sugiere que la cadena de infección ha evolucionado con el tiempo.
La tercera etapa era la más relevante en términos operativos: un componente que combinaba funciones de clicker fraudulento y cargador de proxy inverso. Cada 90 minutos, el malware enviaba información del dispositivo infectado —resolución de pantalla, modelo, SSID de la red Wi-Fi, dirección MAC— a los servidores de los atacantes. En ese momento, la versión de configuración más actualizada era la 3.82. El malware recibía comandos identificados como productId y podía ejecutar hasta nueve funciones distintas, cuyo contenido completo no se detalla en el informe.
Kaspersky atribuye la actividad, con un alto grado de confianza, al MoYu Group, un actor previamente vinculado a la botnet BADBOX. Las soluciones de la compañía detectan las amenazas bajo nombres como HEUR:Trojan-Dropper.AndroidOS.Agent.vu, HEUR:Trojan-Downloader.AndroidOS.Agent.ov, HEUR:Trojan-Proxy.AndroidOS.Zhima. y HEUR:Trojan.AndroidOS.Vo1d..
Los investigadores notificaron a DoFun sobre el esquema de distribución, y el fabricante confirmó posteriormente la corrección de las vulnerabilidades de seguridad explotadas.
Este descubrimiento plantea interrogantes relevantes sobre la superficie de ataque de los vehículos modernos. Aunque en esta ocasión el objetivo era el fraude publicitario y no el control del vehículo, el caso demuestra que los sistemas de infoentretenimiento pueden convertirse en vectores de infección masivos si los fabricantes no blindan adecuadamente sus mecanismos de actualización. La presencia de tarjetas SIM y conectividad permanente convierte a estos dispositivos en candidatos ideales para redes botnet, siguiendo un patrón ya observado en dispositivos IoT.
A medida que los vehículos incorporan más funciones conectadas, la industria automotriz enfrenta el desafío de aplicar las mismas prácticas de seguridad que en teléfonos móviles y dispositivos IoT, con actualizaciones firmadas, verificación de integridad y monitorización continua de su cadena de suministro de software.