El malware en autos aprovechó el sistema de actualización para instalar código malicioso sin que el conductor lo notara.
Investigadores de Kaspersky detectaron el primer programa malicioso diseñado de forma específica para infectar pantallas de autos con sistema Android. Esta amenaza manipula el proceso de actualización del dispositivo para instalar código dañino sin alertar al conductor.
Las consolas de infoentretenimiento actuales funcionan de manera idéntica a una tableta digital. Los equipos mantienen una conexión constante a internet mediante redes WiFi o tarjetas SIM. Esta conectividad atrajo la atención de los ciberdelincuentes.
Un ataque silencioso mediante actualizaciones del sistema
El ataque no requiere la descarga de una aplicación sospechosa ni el ingreso a enlaces maliciosos. Los atacantes vulneraron el sistema de actualización del proveedor chino DoFun. Esta compañía desarrolla programas para más de 30 millones de vehículos en todo el mundo.
Los delincuentes utilizaron la aplicación legítima TWCore como punto de entrada. Este programa administra habitualmente la descarga de archivos desde la nube del desarrollador. Los atacantes manipularon ese canal e instalaron de forma oculta el software JarService.
El funcionamiento interno de la infección
El programa JarService opera en segundo plano sin mostrar ninguna interfaz al usuario. El software descifra una carga útil y ejecuta un descargador malicioso. Este componente contacta a un servidor externo, envía datos del equipo y recibe un nuevo archivo dañino.
La última etapa instala un software de tipo clicker para generar fraude publicitario. Además, los atacantes agregan el módulo llamado Zhima. Este componente suma la consola infectada a una red global de dispositivos controlados de forma remota.
Información comprometida y conexión con redes criminales
El código malicioso recopila datos técnicos del vehículo como la resolución de pantalla, la dirección MAC y los detalles de la red WiFi. Los criminales usan esta información para alimentar un servicio de proxy residencial y redirigir tráfico ajeno durante otros ataques.
Los analistas vincularon esta operación con MoYu Group, un grupo asociado a la red criminal BadBox. El principal riesgo reside en la pérdida de control del dispositivo por parte del propietario. Además, la carga de procesamiento reduce la velocidad del sistema multimedia y ralentiza la conexión a internet del automóvil.
Medidas de prevención y solución del fabricante
El equipo de Kaspersky notificó a la empresa DoFun sobre la falla detectada. El proveedor corrigió rápidamente la vulnerabilidad que permitía la distribución del software dañino.
Los especialistas recomiendan instalar únicamente actualizaciones provenientes del fabricante oficial. Asimismo, aconsejan revisar el funcionamiento del sistema ante la presencia de anuncios extraños, consumo elevado de datos o caídas de rendimiento. Ante cualquier anomalía, el conductor debe desconectar el equipo de internet y acudir al servicio técnico autorizado.
