Nel giugno 2026, Kaspersky ha scoperto un nuovo malware per Android che prende di mira i sistemi di infotainment dei veicoli, ovvero sistemi che combinano funzioni multimediali e, in alcuni casi, di controllo dell’auto. Sotto forma di un downloader multistadio occultato, questa campagna rappresenta il primo caso documentato di malware che infetta il sistema di infotainment di un’auto attraverso una catena di infezione espressamente studiata per questi sistemi veicolari. L’obiettivo è distribuire malware a più fasi in grado di compiere frodi pubblicitarie e altre attività dannose. I ricercatori di Kaspersky ritengono che questa attività possa essere attribuita al MoYu Group, un attore malintenzionato strettamente legato alla botnet BadBox.
I sistemi di infotainment come obiettivo
I sistemi di infotainment possono essere installati di serie oppure montati successivamente sui veicoli più vecchi. Poiché i produttori di questi sistemi utilizzano spesso il sistema operativo Android per personalizzare facilmente le interfacce e aggiungere componenti di sistema essenziali, la maggior parte delle applicazioni Android standard, così come i malware per Android, può essere eseguita su questi dispositivi. Sebbene questi sistemi di infotainment raramente memorizzino dati personali sensibili, di solito dispongono di slot per schede SIM e hanno un accesso costante a Internet per la navigazione e gli aggiornamenti software, caratteristiche che li rendono un potenziale bersaglio per gli hacker.
Aggiornamenti compromessi come vettore di infezione
Il malware è stato diffuso tramite i meccanismi di aggiornamento integrati nel firmware di diversi modelli di unità di sistemi di infotainment basati su Android e gestiti da DoFun. Kaspersky ha segnalato al fornitore questo abuso nella distribuzione del software. Secondo DoFun, il problema è stato risolto.
La catena di infezione ha origine da un’applicazione di sistema legittima denominata TWCore, originariamente responsabile della raccolta di dati analitici e dell’aggiornamento del software del sistema di infotainment. TWCore riceveva istruzioni dal server del produttore che specificavano quali applicazioni dovessero essere installate o aggiornate sui sistemi. Gli autori dell’attacco hanno sfruttato questo canale per distribuire malware precedentemente sconosciuto direttamente ai sistemi di infotainment, utilizzando un dropper denominato JarService. Il processo di infezione era complesso e articolato in più fasi, ed era progettato per eludere il rilevamento. Il malware veniva installato come una normale applicazione utente, ma era privo di interfaccia utente e operava in background senza che l’utente se ne accorgesse.
Kaspersky ha scoperto che gli autori degli attacchi avevano implementato nove comandi distinti, in grado di visualizzare pubblicità indesiderate, perpetrare frodi pubblicitarie e scaricare ulteriori moduli dannosi. Gli autori degli attacchi hanno inoltre ottenuto informazioni sul dispositivo, tra cui la risoluzione dello schermo, il modello del dispositivo, l’identificativo della rete Wi-Fi connessa e l’indirizzo MAC del dispositivo.
Collegamento al Gruppo MoYu
Kaspersky ha scoperto collegamenti tra questa campagna e il gruppo MoYu, affiliato alla botnet BadBox, confrontando questa attività con precedenti attacchi ai set-top box televisivi. Inoltre, il pannello di amministrazione di questa botnet condivide elementi, come URL incorporati nel codice delle pagine web, con i siti web dei servizi di proxy residenziali PXYEDGE e ProxyForU. La botnet BadBox è una rete su larga scala di dispositivi Android compromessi, set-top box per lo streaming TV, telefoni e tablet, che vengono forniti già infettati da malware direttamente dalla fabbrica. Gli autori degli attacchi utilizzano queste backdoor nascoste per commettere frodi pubblicitarie, rubare dati e trasformare le reti domestiche in punti di inoltro illegali per il traffico proxy.
“Nonostante gli sforzi degli esperti di sicurezza informatica e delle forze dell’ordine per smantellare la botnet BadBox, singoli attori ad essa associati continuano le loro attività dannose, infettando dispositivi in tutto il mondo. I metodi di diffusione di questo tipo di malware stanno diventando sempre più vari, spaziando da backdoor preinstallate ad applicazioni IPTV compromesse. Nel caso oggetto di questa ricerca, abbiamo osservato un metodo di diffusione ancora più sofisticato che sfrutta la funzionalità legittima di aggiornamento software di un’app di sistema. Gli autori degli attacchi stanno conquistando attivamente nuove piattaforme. Questo malware è diventato la prima applicazione dannosa che prende di mira specificamente i sistemi di infotainment delle auto attraverso una catena di infezione espressamente studiata per questi sistemi veicolari. Questo costituisce un monito sul fatto che le moderne piattaforme automobilistiche necessitano urgentemente di una protezione robusta contro il malware”, ha commentato Dmitry Kalinin, Security Researcher di Kaspersky.
Per ulteriori informazioni è possibile consultare il report completo su Securelist.
Informazioni su Kaspersky Threat Research
Il team Threat Research è un punto di riferimento nel campo della protezione dalle minacce informatiche. Impegnandosi attivamente sia nell’analisi delle minacce che nello sviluppo di tecnologie, i nostri esperti del team TR garantiscono che le soluzioni di sicurezza informatica di Kaspersky siano fondate su conoscenze approfondite ed eccezionalmente efficaci, fornendo informazioni critiche sulle minacce e una sicurezza solida ai nostri clienti e alla comunità in generale.
