autos
En junio de 2026, descubrimos una nueva pieza inusual de malware que tiene como objetivo consolas de autos basadas en Android. Este es el primer caso documentado de malware que se envía a consolas de autos a través de un servicio automático de actualización de firmware. Ya cubrimos los incidentes cibernéticos automotrices muchas veces, pero generalmente estaban relacionados con filtraciones de datos en la infraestructura digital de los fabricantes o con experimentos de los investigadores de seguridad.
Este caso, sin embargo, involucra malware que los ciberdelincuentes están distribuyendo de forma natural. Sus objetivos son el fraude publicitario y la creación de una botnet proxy formada por consolas de autos infectadas. En este artículo, explicamos qué es una consola, cómo los atacantes infectan exactamente estos dispositivos y qué consecuencias podría tener esto para los conductores.
¿Qué es una consola de auto (HU)?
Primero, aclaremos qué es realmente una consola de auto. Si bien el término puede sonar técnico, en realidad, la mayoría de los conductores interactúan con una cada vez que usan su auto. La consola es el sistema de infoentretenimiento del vehículo, que suele girar en torno a una pantalla que se utiliza para controlar la navegación, la música y otras funciones del vehículo. En los autos modernos, las consolas suelen estar conectadas a Internet.
Los fabricantes usan con frecuencia Android como sistema operativo para sus consolas, en parte por simplicidad: Android está diseñado para admitir casos de uso de consolas de autos, lo que brinda una serie de ventajas:
- Amplias opciones para personalizar la interfaz.
- Desarrollo fácil de aplicaciones.
- Capacidad de agregar las propias aplicaciones y componentes del sistema.
- Gran ecosistema de aplicaciones existente.
Sin embargo, esas mismas ventajas también crean riesgos, ya que las aplicaciones involucradas pueden ser maliciosas en lugar de legítimas. Y eso es lo que sucedió aquí: mediante el uso de una aplicación maliciosa, los atacantes hacen que los autos formen parte de una botnet. A continuación, te explicamos cómo.
¿Cómo infectan los atacantes las consolas de autos y qué malware utilizan?
En primer lugar, cabe señalar que este malware no afecta a todas las consolas, sino a las que utilizan específicamente software desarrollado por la empresa china DoFun. La empresa desarrolla firmware, aplicaciones y servicios en la nube para sistemas de infoentretenimiento automotrices basados en Android y, según su sitio web, presta servicios a más de 30 millones de propietarios de vehículos en todo el mundo.
Para enviar el malware al sistema de infoentretenimiento de un auto, los atacantes usan TWCore, una aplicación de sistema legítima responsable de las actualizaciones de software en las consolas de DoFun. En circunstancias normales, TWCore obtiene información de la nube del desarrollador sobre los archivos que deben descargarse e instalarse en el dispositivo. Estas son principalmente actualizaciones para el software ya instalado en la consola, pero el mismo mecanismo se puede usar para instalar aplicaciones completamente nuevas. Y esto es precisamente lo que aprovechan los atacantes: utilizan TWCore para instalar en las consolas JarService, un instalador de malware troyano malicioso.
JarService es esencialmente una aplicación “vacía”. Es decir, no tiene interfaz de usuario y no intenta hacerse pasar por un servicio legítimo. La falta de una interfaz tiene mucho sentido en este caso: los atacantes no necesitan persuadir al usuario para que instale el malware manualmente y no se requiere ninguna interacción del usuario.
El código de JarService contiene, en forma cifrada, la carga útil de la siguiente etapa, así como información sobre su versión y punto de entrada. El trabajo de JarService es descifrar estos datos y lanzar la siguiente etapa de la infección: un descargador malicioso. Una vez iniciado, el descargador se conecta al servidor de comando y control (C2) de los atacantes y le envía información sobre el malware instalado. En respuesta, el servidor proporciona un vínculo a la carga útil de la siguiente etapa. El descargador recupera la carga útil, la descifra y la ejecuta.
En este caso, el malware instala lo que se conoce como clicker, un tipo de malware que se utiliza para inflar de forma fraudulenta las impresiones de anuncios. Una vez que se ejecuta, el malware se contacta regularmente con el servidor C2 y le envía información sobre el dispositivo infectado, incluido su modelo, resolución de pantalla, dirección MAC y detalles de la red Wi-Fi conectada. A cambio, el malware puede recibir varios comandos de los atacantes. Por ejemplo, puede realizar solicitudes HTTP y abrir páginas web. Pero lo más importante es que puede descargar y ejecutar códigos maliciosos adicionales en el sistema de infoentretenimiento del auto en riesgo.
Los atacantes utilizan esta capacidad para instalar un módulo malicioso llamado zhima, que agrega la unidad principal infectada a una botnet. La botnet resultante alimenta un servicio llamado proxy residencial, que permite a los atacantes enrutar su tráfico a través de dispositivos infectados cuando realizan ataques y otras actividades maliciosas.
¿Quién está detrás del malware y qué intentan los atacantes?
Los atacantes infectan las consolas de vehículos con malware principalmente para expandir su botnet. Una investigación realizada por expertos de Kaspersky descubrió que la operación está asociada con la plataforma maliciosa BADBOX y, más concretamente, a uno de los actores de amenazas vinculados a ella: MoYu Group. Las pistas en el código del malware, junto con las superposiciones con la infraestructura previamente atribuidas a MoYu Group, apuntan a la participación del grupo. La propia BADBOX reúne una serie de actividades maliciosas centradas en infectar dispositivos Android y aprovechar en secreto sus recursos.
Posteriormente, los atacantes obtienen beneficios al monetizar el acceso a recursos que pertenecen a otras personas. Mientras investigaban la infraestructura de la botnet, nuestros expertos descubrieron vínculos entre MoYu Group y los servicios PXYEDGE y ProxyForU, que ofrecen servicios de proxy residencial. Estos servicios permiten a los clientes de todo el mundo enrutar su tráfico de Internet a través de dispositivos conectados a la botnet, y así acceder a Internet utilizando las direcciones IP de esos dispositivos. Esto sugiere que es posible que las consolas de autos infectadas ya se estén utilizando como parte de esta infraestructura.
¿Cómo afecta el malware a los usuarios?
En primer lugar, el malware consume algunos de los recursos informáticos de la consola. La carga adicional puede hacer que el sistema de infoentretenimiento del auto se vuelva más lento o menos estable. Al mismo tiempo, también es muy probable que disminuya la velocidad de conexión a Internet del dispositivo infectado, ya que los atacantes pueden enrutar cantidades significativas de tráfico a través de él.
También vale la pena señalar que las capacidades del malware no se limitan a proporcionar funcionalidad de proxy. Puede recibir comandos de los atacantes y descargar y ejecutar código malicioso adicional. Como resultado, las consecuencias de una infección pueden variar según la carga útil que los operadores de la botnet decidan instalar en el dispositivo.
Conclusión
Este caso demuestra una vez más que los ataques contra todo tipo de dispositivos conectados a Internet, desde descodificadores de televisión hasta sistemas de infoentretenimiento de autos, no son meramente teóricos, sino una realidad muy presente. Los atacantes buscan constantemente nuevos dispositivos cuyos recursos puedan aprovechar para sus propios fines, por lo que la protección contra el malware ahora va mucho más allá de las computadoras y los smartphones.
Nuestros expertos informaron al desarrollador sobre el método de distribución de malware que habían identificado, tras lo cual el desarrollador solucionó los problemas de seguridad que se habían detectado.
Un análisis técnico completo del malware está disponible en Securelist.
¿Qué otros métodos pueden utilizar los atacantes para vulnerar un auto y qué riesgos suponen para los conductores? Más información en nuestras publicaciones:
Consejos