Los sistemas multimedia de los vehículos se han convertido en un nuevo objetivo para los ciberdelincuentes. Kaspersky identificó el primer caso documentado de malware diseñado específicamente para infectar pantallas inteligentes de carros con Android, aprovechando su propio mecanismo de actualización para instalar código malicioso sin intervención del usuario.
El hallazgo resulta relevante porque muchas de estas pantallas, tanto las instaladas de fábrica como las añadidas posteriormente, funcionan en esencia como tabletas Android. Pueden conectarse a Internet mediante WiFi o tarjetas SIM y utilizan esa conexión para mapas, navegación, descarga de aplicaciones y actualizaciones. Esa combinación de conectividad y software amplía la superficie de ataque de un vehículo.
En este caso, los atacantes comprometieron el mecanismo de actualización utilizado por varios modelos de pantallas Android del proveedor DoFun. El punto de entrada fue TWCore, una aplicación legítima encargada, entre otras funciones, de gestionar las actualizaciones del dispositivo. A través de ese canal se instalaba de manera oculta JarService, un programa capaz de funcionar en segundo plano sin mostrar ventanas, alertas u otras señales visibles. DoFun informó que corrigió la vulnerabilidad después de ser alertado por Kaspersky.
Una vez instalado, el malware podía recibir diferentes instrucciones de manera remota. Entre sus capacidades estaban mostrar anuncios sin autorización, generar fraude publicitario, descargar otros componentes maliciosos y recopilar información técnica de la pantalla, incluyendo modelo, resolución, red WiFi utilizada y dirección física del dispositivo.
El problema va más allá de la aparición de publicidad no deseada. Una pantalla comprometida deja de estar completamente bajo el control de su propietario y puede ejecutar acciones remotas mientras aparentemente continúa funcionando con normalidad. Esto obliga a considerar los sistemas multimedia conectados como parte de la seguridad digital general del automóvil y no simplemente como accesorios para entretenimiento o navegación.
Los investigadores también encontraron vínculos entre la infraestructura empleada en esta campaña y BadBox, una red de dispositivos Android comprometidos que ha sido utilizada para redirigir tráfico de Internet sin autorización y sustraer información. La campaña fue relacionada con MoYu Group, grupo previamente vinculado a esta operación.
Uno de los aspectos más preocupantes es el método de infección. El ataque no depende de que el conductor instale voluntariamente una aplicación sospechosa o haga clic en un enlace malicioso, sino que explota un canal que normalmente se considera confiable: las actualizaciones del propio dispositivo. Si esa infraestructura queda comprometida, el mismo mecanismo puede utilizarse para distribuir malware a numerosos equipos.
El caso también refleja la expansión del malware para Android más allá de celulares, tabletas y televisores. A medida que los vehículos incorporan más sistemas conectados y plataformas basadas en sistemas operativos de uso general, aumentan también los puntos que requieren protección.
Entre las medidas recomendadas está instalar únicamente actualizaciones procedentes del fabricante o distribuidor oficial y prestar atención a comportamientos inusuales, como anuncios inesperados, aplicaciones desconocidas, incremento inexplicable del consumo de datos o cambios repentinos en el funcionamiento de la pantalla. Ante alguna de estas señales, conviene desconectar el dispositivo de Internet y verificar su estado con el fabricante o un servicio técnico autorizado.
