{"id":30955,"date":"2026-08-27T12:09:06","date_gmt":"2026-08-27T10:09:06","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=30955"},"modified":"2026-08-27T12:09:06","modified_gmt":"2026-08-27T10:09:06","slug":"car-botnet-malware-for-head-units-with-android","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/car-botnet-malware-for-head-units-with-android\/30955\/","title":{"rendered":"Botnet in viaggio: il primo Trojan per le centraline delle auto"},"content":{"rendered":"<p>A giugno 2026 abbiamo scoperto un nuovo insolito malware che prende di mira\u2026 le centraline delle auto basate su Android. Si tratta del primo caso documentato di malware distribuito alle centraline delle auto tramite un servizio di aggiornamento automatico del firmware. Abbiamo gi\u00e0 trattato molti <a href=\"https:\/\/www.kaspersky.it\/blog\/tag\/automobili\/\" target=\"_blank\" rel=\"noopener\">incidenti informatici nel settore automobilistico<\/a>, ma in genere erano correlati a fughe di dati nell\u2019<a href=\"https:\/\/www.kaspersky.it\/blog\/tracking-and-hacking-kia-cars-via-internet\/29267\/\" target=\"_blank\" rel=\"noopener\">infrastruttura digitale<\/a> dei produttori o agli <a href=\"https:\/\/www.kaspersky.it\/blog\/perfektblue-bluetooth-car-hack\/29993\/\" target=\"_blank\" rel=\"noopener\">esperimenti<\/a> dei ricercatori di sicurezza.<\/p>\n<p>Questo caso, tuttavia, riguarda malware che i criminali informatici stanno distribuendo attivamente <em>in the wild<\/em>. I loro obiettivi sono le frodi pubblicitarie e la creazione di una <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/botnet\/\" target=\"_blank\" rel=\"noopener\">botnet<\/a> proxy composta da centraline delle automobili infette. In questo articolo spieghiamo cos\u2019\u00e8 una centralina, come esattamente gli autori dell\u2019attacco infettano questi dispositivi e cosa pu\u00f2 significare per i conducenti.<\/p>\n<h2>Che cos\u2019\u00e8 la centralina di un\u2019auto?<\/h2>\n<p>Innanzitutto, chiariamo cos\u2019\u00e8 effettivamente <a href=\"https:\/\/it.wikipedia.org\/wiki\/Autoradio\" target=\"_blank\" rel=\"noopener nofollow\">la centralina<\/a> di un\u2019auto. Il termine pu\u00f2 sembrare tecnico, ma in realt\u00e0 la maggior parte dei conducenti interagisce con una di esse ogni volta che utilizza l\u2019auto. La centralina \u00e8 il sistema di infotainment del veicolo, di solito incentrato su un display che permette di controllare la navigazione, la musica e altre funzioni del veicolo. Nelle auto moderne le centraline sono spesso connesse a Internet.<\/p>\n<p>I produttori usano spesso Android come sistema operativo per le proprie centraline, anche per motivi di semplicit\u00e0: Android \u00e8 pensato per supportare i casi d\u2019uso delle centraline nel settore automobilistico, offrendo numerosi vantaggi:<\/p>\n<ul>\n<li>ampie opzioni per la personalizzazione dell\u2019interfaccia;<\/li>\n<li>facile sviluppo di app;<\/li>\n<li>la possibilit\u00e0 di aggiungere i propri componenti e app di sistema;<\/li>\n<li>un ampio ecosistema di app esistente.<\/li>\n<\/ul>\n<p>Tuttavia, gli stessi vantaggi creano anche rischi, poich\u00e9 le app coinvolte potrebbero essere dannose anzich\u00e9 legittime. \u00c8 esattamente quello che \u00e8 successo qui: utilizzando un\u2019applicazione dannosa, gli autori dell\u2019attacco hanno reso le auto parte di una botnet. Ecco come.<\/p>\n<h2>In che modo gli autori dell\u2019attacco infettano le centraline delle auto e quale malware utilizzano?<\/h2>\n<p>Innanzitutto, va notato che questo malware non colpisce tutte le centraline, ma nello specifico quelle che utilizzano software sviluppato dall\u2019azienda cinese DoFun. L\u2019azienda sviluppa firmware, applicazioni e servizi cloud per sistemi di infotainment automobilistico basati su Android e, secondo il proprio <a href=\"https:\/\/www.dofun.cc\/cloud\/index.html\" target=\"_blank\" rel=\"noopener nofollow\">sito Web<\/a>, serve oltre 30 milioni di proprietari di veicoli in tutto il mondo.<\/p>\n<p>Per distribuire il malware sul sistema di infotainment di un\u2019auto, gli autori dell\u2019attacco utilizzano TWCore, un\u2019app di sistema legittima responsabile degli aggiornamenti software sulle centraline DoFun. In circostanze normali, TWCore ottiene informazioni dal cloud dello sviluppatore sui file che devono essere scaricati e installati nel dispositivo. Si tratta principalmente di aggiornamenti per software gi\u00e0 installato sulle centraline, ma lo stesso meccanismo pu\u00f2 essere usato per installare app completamente nuove. Questo \u00e8 esattamente ci\u00f2 che gli autori dell\u2019attacco sfruttano: usano TWCore per installare JarService, un <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/trojan-droppers\/\" target=\"_blank\" rel=\"noopener\">Trojan dropper<\/a> dannoso, sulle centraline.<\/p>\n<p>JarService \u00e8 essenzialmente un\u2019applicazione \u201cvuota\u201d. In altre parole, non dispone di un\u2019interfaccia utente e non tenta di impersonare un servizio legittimo. La mancanza di un\u2019interfaccia ha perfettamente senso in questo caso: gli autori dell\u2019attacco non hanno bisogno di convincere l\u2019utente a installare manualmente il malware, e non \u00e8 richiesta alcuna interazione da parte sua.<\/p>\n<p>Il codice JarService contiene, in forma criptata, il carico utile della fase successiva, nonch\u00e9 informazioni sulla relativa versione e sul punto di ingresso. Il compito di JarService \u00e8 decriptare questi dati e avviare la fase successiva dell\u2019infezione: un downloader dannoso. Una volta avviato, il downloader si connette al server di comando e controllo (C2) degli autori dell\u2019attacco e invia loro informazioni sul malware installato. In risposta, il server fornisce un collegamento al carico utile della fase successiva. Il downloader recupera il carico utile, lo decripta e lo esegue.<\/p>\n<p>In questo caso, il malware installa il cosiddetto clicker, un tipo di malware utilizzato per gonfiare in modo fraudolento le impressioni degli annunci. Una volta in esecuzione, il malware contatta regolarmente il server C2 e gli invia informazioni sul dispositivo infetto, inclusi modello, risoluzione dello schermo, indirizzo MAC e dettagli della rete Wi-Fi connessa. In cambio, il malware pu\u00f2 ricevere vari comandi dagli autori dell\u2019attacco. Pu\u00f2 ad esempio effettuare richieste HTTP e aprire pagine Web. Ma soprattutto pu\u00f2 scaricare ed eseguire codice dannoso aggiuntivo nel sistema di infotainment dell\u2019auto compromesso.<\/p>\n<p>Gli autori dell\u2019attacco usano questa funzionalit\u00e0 per installare un modulo dannoso chiamato <em>zhima<\/em>, che aggiunge la centralina infetta alla botnet. La botnet risultante alimenta un cosiddetto servizio <a href=\"https:\/\/www.kaspersky.com\/blog\/save-your-home-router-from-apt-residential-proxy\/53840\/#:~:text=How%20compromised%20routers%20are%20exploited\" target=\"_blank\" rel=\"noopener nofollow\">proxy residenziale<\/a>, che consente agli autori dell\u2019attacco di instradare il proprio traffico attraverso i dispositivi infetti durante l\u2019esecuzione di attacchi e altre attivit\u00e0 dannose.<\/p>\n<h2>Chi c\u2019\u00e8 dietro il malware e cosa cercano di ottenere gli autori dell\u2019attacco?<\/h2>\n<p>Gli autori dell\u2019attacco infettano le centraline delle auto con malware principalmente per espandere la propria botnet. Da un\u2019indagine condotta dagli esperti Kaspersky \u00e8 emerso che l\u2019operazione \u00e8 associata alla <a href=\"https:\/\/www.kaspersky.com\/blog\/android-tv-botnet\/55799\/\" target=\"_blank\" rel=\"noopener nofollow\">piattaforma dannosa BADBOX<\/a> e, pi\u00f9 precisamente, a uno dei responsabili delle minacce a essa collegati: il Gruppo MoYu. Gli indizi nel codice del malware, insieme alle sovrapposizioni con l\u2019infrastruttura precedentemente attribuita al Gruppo MoYu, indicano il coinvolgimento del gruppo. La stessa BADBOX riunisce una serie di attivit\u00e0 dannose incentrate sull\u2019infezione di dispositivi Android e sullo sfruttamento segreto delle relative risorse.<\/p>\n<p>Gli autori dell\u2019attacco guadagnano quindi monetizzando l\u2019accesso a risorse che appartengono ad altre persone. Durante le indagini sull\u2019infrastruttura della botnet, i nostri esperti hanno scoperto collegamenti tra il Gruppo MoYu e i servizi PXYEDGE e ProxyForU, che offrono servizi proxy residenziali. Questi servizi consentono ai client di tutto il mondo di instradare il traffico Internet attraverso i dispositivi connessi alla botnet, accedendo in tal modo a Internet utilizzando gli indirizzi IP di tali dispositivi. Ci\u00f2 suggerisce che le centraline delle auto infette potrebbero gi\u00e0 essere utilizzate come parte di questa infrastruttura.<\/p>\n<h2>In che modo il malware colpisce gli utenti?<\/h2>\n<p>Innanzitutto, il malware consuma parte delle risorse di elaborazione delle centraline. Il carico aggiuntivo potrebbe causare un rallentamento o una minore stabilit\u00e0 del sistema di infotainment dell\u2019auto. Allo stesso tempo, \u00e8 molto probabile che diminuisca anche la velocit\u00e0 di connessione a Internet del dispositivo infetto, poich\u00e9 gli autori dell\u2019attacco possono instradare grandi quantit\u00e0 di traffico attraverso di esso.<\/p>\n<p>\u00c8 inoltre opportuno notare che le funzionalit\u00e0 del malware non si limitano a fornire funzionalit\u00e0 proxy. Pu\u00f2 ricevere comandi dagli autori dell\u2019attacco, oltre a scaricare ed eseguire codice dannoso aggiuntivo. Quindi, le conseguenze di un\u2019infezione possono variare a seconda del carico utile che gli operatori di botnet decidono di installare nel dispositivo.<\/p>\n<h2>Conclusione<\/h2>\n<p>Questo caso dimostra ancora una volta che gli attacchi a tutti i tipi di dispositivi connessi a Internet, dai set-top box TV ai sistemi di infotainment per auto, non sono solo teorici, ma praticamente una realt\u00e0. Gli autori degli attacchi sono costantemente alla ricerca di nuovi dispositivi di cui poter sfruttare le risorse per i propri scopi, quindi la protezione dai malware ora conta ben oltre i computer e gli smartphone.<\/p>\n<p>I nostri esperti hanno informato lo sviluppatore dello schema di distribuzione del malware identificato, dopodich\u00e9 lo sviluppatore ha affrontato i problemi di sicurezza scoperti.<\/p>\n<p>Un\u2019analisi tecnica completa del malware \u00e8 disponibile su <a href=\"https:\/\/securelist.com\/android-head-unit-malware\/121106\/\" target=\"_blank\" rel=\"noopener\">Securelist<\/a>.<\/p>\n<blockquote><p>Quali altri metodi possono usare gli autori degli attacchi per hackerare un\u2019auto, e quali rischi comportano per i conducenti? Maggiori informazioni nei nostri post:<\/p>\n<ul>\n<li><a href=\"https:\/\/www.kaspersky.com\/blog\/automotive-security-2025\/54562\/\" target=\"_blank\" rel=\"noopener nofollow\">.. hackerata: cyberminacce per le auto connesse<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/perfektblue-bluetooth-car-hack\/29993\/\" target=\"_blank\" rel=\"noopener\">Hacking delle auto tramite Bluetooth<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/dashcam-hack-botnet-on-the-wheels\/30346\/\" target=\"_blank\" rel=\"noopener\">Botnet mobili: l\u2019hacking di massa delle dashcam<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/the-car-that-spied-on-you-carint\/30690\/\" target=\"_blank\" rel=\"noopener\">La tua auto ti sta spiando?<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/car-manufacturers-silently-sell-user-telematics-data\/28849\/\" target=\"_blank\" rel=\"noopener\">So come hai guidato l\u2019estate scorsa<\/a><\/li>\n<\/ul>\n<\/blockquote>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"premium-geek\">\n","protected":false},"excerpt":{"rendered":"<p>Gli autori dell&#8217;attacco hanno individuato l&#8217;ennesima fonte di risorse di elaborazione gratuite: le centraline delle auto. Diamo un&#8217;occhiata al primo malware che prende di mira specificamente le auto per sferrare attacchi. <\/p>\n","protected":false},"author":2739,"featured_media":30956,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2641],"tags":[70,1190,689,199,1425,22,638,3359,584],"class_list":["post-30955","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-android","tag-attacchi-informatici","tag-automobili","tag-botnet","tag-dispositivi-connessi","tag-malware-2","tag-minacce","tag-trasporti","tag-vulnerabilita"],"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/car-botnet-malware-for-head-units-with-android\/30955\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/car-botnet-malware-for-head-units-with-android\/30996\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/26022\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/13641\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/car-botnet-malware-for-head-units-with-android\/30828\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/car-botnet-malware-for-head-units-with-android\/32405\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/car-botnet-malware-for-head-units-with-android\/42555\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/56296\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/car-botnet-malware-for-head-units-with-android\/24230\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/car-botnet-malware-for-head-units-with-android\/33832\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/car-botnet-malware-for-head-units-with-android\/30969\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/car-botnet-malware-for-head-units-with-android\/36491\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/car-botnet-malware-for-head-units-with-android\/36403\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/automobili\/","name":"automobili"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30955","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/2739"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=30955"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30955\/revisions"}],"predecessor-version":[{"id":30958,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/30955\/revisions\/30958"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/30956"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=30955"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=30955"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=30955"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}