automobili
A giugno 2026 abbiamo scoperto un nuovo insolito malware che prende di mira… le centraline delle auto basate su Android. Si tratta del primo caso documentato di malware distribuito alle centraline delle auto tramite un servizio di aggiornamento automatico del firmware. Abbiamo già trattato molti incidenti informatici nel settore automobilistico, ma in genere erano correlati a fughe di dati nell’infrastruttura digitale dei produttori o agli esperimenti dei ricercatori di sicurezza.
Questo caso, tuttavia, riguarda malware che i criminali informatici stanno distribuendo attivamente in the wild. I loro obiettivi sono le frodi pubblicitarie e la creazione di una botnet proxy composta da centraline delle automobili infette. In questo articolo spieghiamo cos’è una centralina, come esattamente gli autori dell’attacco infettano questi dispositivi e cosa può significare per i conducenti.
Che cos’è la centralina di un’auto?
Innanzitutto, chiariamo cos’è effettivamente la centralina di un’auto. Il termine può sembrare tecnico, ma in realtà la maggior parte dei conducenti interagisce con una di esse ogni volta che utilizza l’auto. La centralina è il sistema di infotainment del veicolo, di solito incentrato su un display che permette di controllare la navigazione, la musica e altre funzioni del veicolo. Nelle auto moderne le centraline sono spesso connesse a Internet.
I produttori usano spesso Android come sistema operativo per le proprie centraline, anche per motivi di semplicità: Android è pensato per supportare i casi d’uso delle centraline nel settore automobilistico, offrendo numerosi vantaggi:
- ampie opzioni per la personalizzazione dell’interfaccia;
- facile sviluppo di app;
- la possibilità di aggiungere i propri componenti e app di sistema;
- un ampio ecosistema di app esistente.
Tuttavia, gli stessi vantaggi creano anche rischi, poiché le app coinvolte potrebbero essere dannose anziché legittime. È esattamente quello che è successo qui: utilizzando un’applicazione dannosa, gli autori dell’attacco hanno reso le auto parte di una botnet. Ecco come.
In che modo gli autori dell’attacco infettano le centraline delle auto e quale malware utilizzano?
Innanzitutto, va notato che questo malware non colpisce tutte le centraline, ma nello specifico quelle che utilizzano software sviluppato dall’azienda cinese DoFun. L’azienda sviluppa firmware, applicazioni e servizi cloud per sistemi di infotainment automobilistico basati su Android e, secondo il proprio sito Web, serve oltre 30 milioni di proprietari di veicoli in tutto il mondo.
Per distribuire il malware sul sistema di infotainment di un’auto, gli autori dell’attacco utilizzano TWCore, un’app di sistema legittima responsabile degli aggiornamenti software sulle centraline DoFun. In circostanze normali, TWCore ottiene informazioni dal cloud dello sviluppatore sui file che devono essere scaricati e installati nel dispositivo. Si tratta principalmente di aggiornamenti per software già installato sulle centraline, ma lo stesso meccanismo può essere usato per installare app completamente nuove. Questo è esattamente ciò che gli autori dell’attacco sfruttano: usano TWCore per installare JarService, un Trojan dropper dannoso, sulle centraline.
JarService è essenzialmente un’applicazione “vuota”. In altre parole, non dispone di un’interfaccia utente e non tenta di impersonare un servizio legittimo. La mancanza di un’interfaccia ha perfettamente senso in questo caso: gli autori dell’attacco non hanno bisogno di convincere l’utente a installare manualmente il malware, e non è richiesta alcuna interazione da parte sua.
Il codice JarService contiene, in forma criptata, il carico utile della fase successiva, nonché informazioni sulla relativa versione e sul punto di ingresso. Il compito di JarService è decriptare questi dati e avviare la fase successiva dell’infezione: un downloader dannoso. Una volta avviato, il downloader si connette al server di comando e controllo (C2) degli autori dell’attacco e invia loro informazioni sul malware installato. In risposta, il server fornisce un collegamento al carico utile della fase successiva. Il downloader recupera il carico utile, lo decripta e lo esegue.
In questo caso, il malware installa il cosiddetto clicker, un tipo di malware utilizzato per gonfiare in modo fraudolento le impressioni degli annunci. Una volta in esecuzione, il malware contatta regolarmente il server C2 e gli invia informazioni sul dispositivo infetto, inclusi modello, risoluzione dello schermo, indirizzo MAC e dettagli della rete Wi-Fi connessa. In cambio, il malware può ricevere vari comandi dagli autori dell’attacco. Può ad esempio effettuare richieste HTTP e aprire pagine Web. Ma soprattutto può scaricare ed eseguire codice dannoso aggiuntivo nel sistema di infotainment dell’auto compromesso.
Gli autori dell’attacco usano questa funzionalità per installare un modulo dannoso chiamato zhima, che aggiunge la centralina infetta alla botnet. La botnet risultante alimenta un cosiddetto servizio proxy residenziale, che consente agli autori dell’attacco di instradare il proprio traffico attraverso i dispositivi infetti durante l’esecuzione di attacchi e altre attività dannose.
Chi c’è dietro il malware e cosa cercano di ottenere gli autori dell’attacco?
Gli autori dell’attacco infettano le centraline delle auto con malware principalmente per espandere la propria botnet. Da un’indagine condotta dagli esperti Kaspersky è emerso che l’operazione è associata alla piattaforma dannosa BADBOX e, più precisamente, a uno dei responsabili delle minacce a essa collegati: il Gruppo MoYu. Gli indizi nel codice del malware, insieme alle sovrapposizioni con l’infrastruttura precedentemente attribuita al Gruppo MoYu, indicano il coinvolgimento del gruppo. La stessa BADBOX riunisce una serie di attività dannose incentrate sull’infezione di dispositivi Android e sullo sfruttamento segreto delle relative risorse.
Gli autori dell’attacco guadagnano quindi monetizzando l’accesso a risorse che appartengono ad altre persone. Durante le indagini sull’infrastruttura della botnet, i nostri esperti hanno scoperto collegamenti tra il Gruppo MoYu e i servizi PXYEDGE e ProxyForU, che offrono servizi proxy residenziali. Questi servizi consentono ai client di tutto il mondo di instradare il traffico Internet attraverso i dispositivi connessi alla botnet, accedendo in tal modo a Internet utilizzando gli indirizzi IP di tali dispositivi. Ciò suggerisce che le centraline delle auto infette potrebbero già essere utilizzate come parte di questa infrastruttura.
In che modo il malware colpisce gli utenti?
Innanzitutto, il malware consuma parte delle risorse di elaborazione delle centraline. Il carico aggiuntivo potrebbe causare un rallentamento o una minore stabilità del sistema di infotainment dell’auto. Allo stesso tempo, è molto probabile che diminuisca anche la velocità di connessione a Internet del dispositivo infetto, poiché gli autori dell’attacco possono instradare grandi quantità di traffico attraverso di esso.
È inoltre opportuno notare che le funzionalità del malware non si limitano a fornire funzionalità proxy. Può ricevere comandi dagli autori dell’attacco, oltre a scaricare ed eseguire codice dannoso aggiuntivo. Quindi, le conseguenze di un’infezione possono variare a seconda del carico utile che gli operatori di botnet decidono di installare nel dispositivo.
Conclusione
Questo caso dimostra ancora una volta che gli attacchi a tutti i tipi di dispositivi connessi a Internet, dai set-top box TV ai sistemi di infotainment per auto, non sono solo teorici, ma praticamente una realtà. Gli autori degli attacchi sono costantemente alla ricerca di nuovi dispositivi di cui poter sfruttare le risorse per i propri scopi, quindi la protezione dai malware ora conta ben oltre i computer e gli smartphone.
I nostri esperti hanno informato lo sviluppatore dello schema di distribuzione del malware identificato, dopodiché lo sviluppatore ha affrontato i problemi di sicurezza scoperti.
Un’analisi tecnica completa del malware è disponibile su Securelist.
Quali altri metodi possono usare gli autori degli attacchi per hackerare un’auto, e quali rischi comportano per i conducenti? Maggiori informazioni nei nostri post:
Consigli