Una campaña vinculada al grupo MoYu utiliza una aplicación legítima de actualización para infectar unidades multimedia Android instaladas en vehículos y utilizarlas para tráfico proxy y fraude.
📌 En resumen
- Un malware está infectando sistemas multimedia Android instalados en vehículos mediante un ataque a la cadena de suministro.
- La infección comienza cuando la aplicación legítima TWCore descarga el componente malicioso JarService.
- Los dispositivos comprometidos pueden convertirse en nodos de una red proxy y participar en actividades relacionadas con fraude publicitario.
- Kaspersky atribuye la campaña al grupo MoYu, relacionado anteriormente con la botnet BadBox.
Un malware convierte sistemas Android de coches en nodos de una botnet
Un nuevo malware para Android está infectando sistemas multimedia instalados en vehículos mediante un ataque a la cadena de suministro. La campaña aprovecha una aplicación legítima de actualización para introducir código malicioso y convertir posteriormente los dispositivos comprometidos en nodos de una red proxy o utilizarlos para actividades relacionadas con el fraude publicitario.
La campaña ha sido analizada por investigadores de Kaspersky, que atribuyen la operación al grupo MoYu, previamente relacionado con la botnet BadBox.
Según los investigadores, se trata del primer caso documentado de una cadena de infección diseñada específicamente para sistemas Android de infoentretenimiento instalados en automóviles.
El objetivo observado no parece ser el control directo de funciones críticas del vehículo. En su lugar, los sistemas comprometidos se aprovechan como recursos conectados a Internet para ejecutar actividades controladas de forma remota por los operadores.
Una actualización legítima introduce el malware en el vehículo
La campaña afecta a sistemas comercializados por DoFun, un proveedor chino de software, servicios en la nube y hardware destinado al sector de la automoción.
Estas unidades Android funcionan como sistemas multimedia del vehículo y permiten gestionar funciones como la navegación, el entretenimiento y determinadas configuraciones del sistema.
Durante una investigación realizada en junio de 2026, Kaspersky descubrió que una aplicación legítima del sistema denominada TWCore descargaba un archivo APK desconocido después de recibir instrucciones mediante un servidor MQTT.
El archivo descargado resultó ser un componente malicioso identificado como JarService.
Una vez ejecutado, JarService descifra y carga una segunda fase de la infección. Este componente establece comunicación con un servidor de mando y control y descarga otra carga cifrada que amplía las capacidades disponibles en el dispositivo.
El malware recopila información del sistema Android
Una vez comprometida la unidad multimedia, la infección mantiene comunicaciones periódicas con la infraestructura controlada por los atacantes.
Entre los datos recopilados por el malware se encuentran información sobre el modelo del dispositivo, la resolución de pantalla, el SSID de la red WiFi y la dirección MAC.
Esta información permite a los operadores conocer determinadas características del sistema infectado y mantener una comunicación con él para enviar nuevas instrucciones.
El malware admite nueve tipos de comandos. Entre sus capacidades se encuentran copiar contenido al portapapeles, realizar solicitudes HTTP, abrir páginas web mediante un WebView, ejecutar JavaScript, descargar módulos adicionales y comprobar la accesibilidad de determinados servidores.
Una de las funciones más relevantes es la posibilidad de descargar y ejecutar código adicional. Esto permite ampliar las capacidades de la infección después de que el dispositivo haya sido comprometido inicialmente.
Los coches infectados pueden convertirse en nodos proxy
Los investigadores no observaron que el objetivo principal de la campaña fuera sabotear directamente el vehículo o alterar sus funciones esenciales.
En cambio, detectaron principalmente la instalación de un módulo de proxy inverso denominado zhima. Este componente permite convertir la unidad Android comprometida en un nodo de una red proxy, utilizando su conexión a Internet para redirigir tráfico de terceros.
Esto transforma el sistema multimedia del vehículo en un recurso de la infraestructura de los atacantes. La conexión utilizada por el coche puede servir para canalizar determinadas solicitudes hacia Internet, haciendo que el tráfico parezca proceder de una conexión legítima.
Las redes de proxy residenciales tienen especial interés para determinados ciberdelincuentes porque pueden dificultar la identificación del origen real de determinadas actividades y ayudar a superar algunos mecanismos antifraude.
También hay indicios de fraude publicitario
Además del tráfico proxy, los investigadores detectaron solicitudes web relacionadas con fraude publicitario.
Este comportamiento apunta a que los dispositivos infectados podían utilizarse para generar clics o interacciones artificiales con anuncios, una actividad que puede generar ingresos ilícitos para los operadores de la infraestructura.
El modelo resulta especialmente interesante desde el punto de vista de los atacantes porque permite aprovechar dispositivos que permanecen conectados a Internet durante largos periodos sin que el propietario tenga necesariamente conocimiento de lo que ocurre en segundo plano.
La unidad multimedia puede convertirse así en una pieza más de una infraestructura distribuida que combina diferentes dispositivos comprometidos para generar tráfico y ejecutar tareas de forma remota.
El ataque demuestra el riesgo de la cadena de suministro
Uno de los elementos más relevantes del caso es que la infección no comienza necesariamente con una aplicación descargada voluntariamente por el usuario desde una tienda de aplicaciones.
El malware entra en la cadena mediante una aplicación legítima de actualización incluida en el sistema. Si ese componente puede descargar código desde una infraestructura controlada por terceros, un atacante puede utilizarlo como mecanismo para introducir una segunda fase maliciosa.
Este tipo de ataque resulta especialmente problemático en dispositivos integrados porque el usuario puede no tener el mismo nivel de control que tendría sobre un teléfono Android convencional. Las actualizaciones, aplicaciones del sistema y componentes del fabricante pueden ejecutarse de forma automática o formar parte de la infraestructura instalada de fábrica.
El caso de DoFun demuestra además que los sistemas de infoentretenimiento deben considerarse parte de la superficie de ataque de un vehículo conectado. Aunque el objetivo observado sea utilizar la conexión a Internet para actividades ilícitas, una infección con capacidad para ejecutar código adicional podría representar un riesgo mayor si las circunstancias cambiasen.
MoYu vuelve a aparecer vinculado a una botnet
Kaspersky atribuye la campaña al grupo MoYu, que anteriormente había sido relacionado con BadBox, una familia de malware centrada en comprometer dispositivos Android y utilizarlos como parte de redes controladas remotamente.
La conexión resulta relevante porque muestra cómo las mismas técnicas utilizadas contra otros dispositivos Android pueden trasladarse a equipos integrados en vehículos.
En este caso, el atractivo para los atacantes está en aprovechar una nueva categoría de dispositivos conectados que pueden ofrecer una conexión a Internet y permanecer activos durante largos periodos.
El primer caso documentado dirigido a sistemas Android de automóviles
La investigación de Kaspersky sitúa esta campaña como el primer caso documentado de una cadena de infección diseñada específicamente para sistemas Android de infoentretenimiento instalados en automóviles.
La amenaza no implica que todos los vehículos con sistemas Android estén afectados ni que el malware pueda controlar directamente los sistemas de conducción. El problema identificado está relacionado con determinadas unidades y con la forma en la que su software puede descargar y ejecutar componentes adicionales.
El incidente pone de manifiesto, sin embargo, que los vehículos conectados están incorporando cada vez más componentes informáticos susceptibles de convertirse en objetivos para los ciberdelincuentes.
En esta campaña concreta, el resultado es especialmente llamativo: un sistema multimedia instalado en un coche puede terminar funcionando como nodo de una red proxy o como parte de una infraestructura utilizada para fraude publicitario, sin que el propietario tenga necesariamente conocimiento de ello.
