Investigadores de Kaspersky identificaron el primer caso documentado de un malware creado de manera específica para infectar pantallas inteligentes de vehículos basadas en Android. La amenaza aprovecha el propio sistema de actualización de estos dispositivos para instalar código malicioso sin que el conductor lo advierta.
Las pantallas de infoentretenimiento de los autos modernos funcionan de forma similar a una tableta. Permanecen conectadas a internet a través de redes WiFi o tarjetas SIM y ejecutan aplicaciones de navegación, mapas y entretenimiento. Esa conectividad permanente las convirtió en un nuevo objetivo para los ciberdelincuentes.
Cómo llega el ataque de un malware a los vehículos
El malware no requiere que el conductor descargue una aplicación sospechosa ni pulse un enlace malicioso. Los atacantes aprovecharon el sistema de actualización de varios modelos de pantallas Android del proveedor chino DoFun, una empresa que desarrolla firmware, aplicaciones y servicios en la nube para sistemas de infoentretenimiento y que, según su propio sitio web, presta servicios a más de 30 millones de propietarios de vehículos en todo el mundo.
El punto de entrada fue TWCore, una aplicación legítima del sistema encargada de administrar las actualizaciones de software en las consolas de DoFun. En circunstancias normales, obtiene desde la nube del desarrollador la información sobre los archivos que deben instalarse en el dispositivo. Los atacantes manipularon ese mismo canal para instalar de forma oculta un programa llamado JarService.
JarService es una aplicación sin interfaz de usuario, que no intenta simular ser un servicio legítimo ni requiere ninguna interacción del conductor. Su código contiene, cifrada, la carga útil de la siguiente etapa de la infección. Su función es descifrar esos datos y ejecutar un descargador malicioso, que se conecta a un servidor de comando y control, envía información sobre el dispositivo infectado y recibe a cambio un vínculo con la siguiente carga maliciosa.
Ese componente instala finalmente un clicker, un tipo de malware utilizado para inflar de forma fraudulenta las impresiones publicitarias. A partir de ahí, los atacantes pueden instalar un módulo adicional llamado zhima, que suma la unidad de infoentretenimiento infectada a una botnet.
Qué información busca el malware en los vehículos
Una vez instalado, el clicker puede recibir al menos nueve tipos de instrucciones de los atacantes: mostrar anuncios no autorizados, generar fraude publicitario, realizar solicitudes HTTP, abrir páginas web y descargar nuevos componentes maliciosos.
El programa recopila, además, información técnica del dispositivo: el modelo de la pantalla, su resolución, la dirección MAC y los detalles de la red WiFi conectada. Con esos datos, los atacantes alimentan un servicio de proxy residencial, que permite enrutar tráfico ajeno a través de los dispositivos infectados durante otros ataques o actividades maliciosas.
La investigación vinculó la operación con MoYu Group, un actor de amenazas asociado a BADBOX, una plataforma que reúne actividades centradas en infectar dispositivos Android para aprovechar en secreto sus recursos. Los analistas encontraron además vínculos entre MoYu Group y los servicios PXYEDGE y ProxyForU, que ofrecen proxies residenciales a clientes de todo el mundo, lo que sugiere que las consolas de autos infectadas ya podrían formar parte de esa infraestructura.
El principal riesgo, según los especialistas, es que una pantalla comprometida deja de estar bajo el control total de su propietario: los atacantes pueden ejecutar acciones de manera remota mientras el sistema sigue funcionando en apariencia con normalidad.
La carga adicional de procesamiento puede además volver más lento o inestable el sistema de infoentretenimiento y reducir la velocidad de la conexión a internet del vehículo.
“Este caso es especialmente relevante porque el ataque no depende de que el conductor descargue una aplicación sospechosa o haga clic en un enlace”, dijo Lisandro Ubiedo, analista senior de seguridad del Equipo Global de Investigación y Análisis para América Latina de Kaspersky.
Cómo protegerse de esta amenaza
Los especialistas recomiendan instalar únicamente actualizaciones provenientes del fabricante o distribuidor oficial de la pantalla y verificar de manera periódica la existencia de parches de seguridad disponibles.
También aconsejan prestar atención a comportamientos poco habituales, como anuncios que aparecen sin explicación, aplicaciones desconocidas instaladas, un aumento inesperado en el consumo de datos o cambios repentinos en el funcionamiento del sistema.
En caso de detectar anomalías, la recomendación es desconectar temporalmente la pantalla de internet y consultar al fabricante o a un servicio técnico autorizado. Kaspersky notificó a DoFun sobre el método de distribución identificado y la compañía corrigió posteriormente la vulnerabilidad que permitía el ataque.
