Malware nelle autoradio Android: gli aggiornamenti diventano il canale per ad fraud e botnet proxy

Una nuova catena d’infezione per le head unit DoFun

I ricercatori di Kaspersky hanno individuato a giugno 2026 una famiglia di malware progettata per colpire il firmware delle head unit Android sviluppate da DoFun. Si tratta, secondo l’analisi pubblicata, del primo caso documentato di una catena d’infezione costruita appositamente per sistemi multimediali automobilistici.

L’obiettivo non è controllare direttamente le funzioni di guida, ma trasformare l’unità Android in una piattaforma per frodi pubblicitarie e attività proxy. Una volta compromesso il dispositivo, gli attaccanti possono installare moduli aggiuntivi, visualizzare contenuti indesiderati, eseguire codice remoto e usare la connessione della vettura per inoltrare traffico.

La minaccia riguarda un’area spesso trattata come semplice infotainment. Le head unit, invece, sono computer Android con connettività, applicazioni, memoria persistente e, in molti casi, accesso a Internet tramite una SIM integrata.

Il punto debole è l’applicazione di aggiornamento

Il componente al centro dell’attacco è TWCore, un’applicazione di sistema con package com.tw.core. Il software svolge funzioni legittime: raccoglie dati analitici e aggiorna la head unit scaricando file APK.

Gli operatori di MoYu hanno sfruttato proprio questo meccanismo per distribuire un programma malevolo direttamente sulle unità. La comunicazione con l’infrastruttura di aggiornamento avviene attraverso MQTT, utilizzando il sottodominio cardoor[.]cn. I pacchetti APK vengono salvati nella directory:

<TWCore external cache dir>/push/apk/

L’abuso è stato segnalato responsabilmente e il problema che consentiva di distribuire software non autorizzato è stato corretto. Non sono però note le versioni correttive precise né una procedura pubblica completa per verificare ogni modello interessato.

Il rischio aumenta perché le head unit Android possono essere installate direttamente dai produttori oppure aggiunte in seguito come sistemi aftermarket. La stessa superficie d’attacco può quindi comprendere veicoli nuovi e automobili più vecchie aggiornate con componenti retrofit.

JarService avvia un downloader a più stadi

Il primo malware identificato nella catena è un dropper denominato JarService. Il suo compito è eludere i controlli iniziali e avviare un loader incaricato di recuperare il payload successivo.

La sequenza osservata dai ricercatori funziona in questo modo:

1. il loader raccoglie informazioni sull’head unit compromessa;
2. invia i dati a un server remoto con una richiesta HTTP POST;
3. riceve un collegamento al componente successivo;
4. scarica il payload dall’indirizzo 144.217.243[.]201/vr34der34/dex3.68.png.

L’estensione .png non indica necessariamente un’immagine. Il file viene utilizzato come contenitore per il codice da installare. Il riferimento dex3.68 identifica una versione del payload: modificando il numero nell’URL, Kaspersky ha recuperato sette varianti, comprese versioni risalenti a 3.57.

Al termine della catena, il malware viene installato come una normale applicazione utente. Non mostra finestre né un’interfaccia visibile e continua a operare in background, riducendo le possibilità che il proprietario del veicolo si accorga dell’infezione.

Un’infrastruttura C2 aggiornata a distanza

Il componente installato contatta periodicamente l’infrastruttura di comando e controllo. Per impostazione predefinita, ogni 90 minuti invia una richiesta POST all’endpoint /cpc/api/task.

La comunicazione include dati sul dispositivo e sulla versione della configurazione locale. Se questa configurazione è superata, il server fornisce nuovi indirizzi C2 e nuovi percorsi HTTP. In caso contrario, la risposta contiene identificativi numerici di comando chiamati dagli operatori productId.

Il trojan collega ogni identificativo ai parametri necessari e conserva le informazioni in formato JSON serializzato tramite SharedPreferences, il meccanismo Android normalmente usato per memorizzare preferenze applicative.

Questa architettura permette agli operatori di cambiare rapidamente server, percorsi e istruzioni senza dover reinstallare ogni volta il componente principale. La compromissione, quindi, non dipende da un’infrastruttura fissa e facilmente bloccabile.

Nove comandi per pubblicità, download e controllo remoto

Il malware implementa nove funzioni operative:

• return, per leggere e restituire valori presenti in SharedPreferences;
• copy, per modificare il contenuto della clipboard;
• http, per inviare richieste HTTP GET o POST;
• web, per aprire contenuti in una WebView ed eseguire JavaScript;
• loadlib, predisposto al caricamento di librerie, ma non completamente implementato;
• loadlib2, per scaricare ed eseguire codice da un URL;
• loadlib3, una seconda funzione di caricamento non completata;
• deeplink, per aprire indirizzi nel browser;
• traceroute, per verificare la raggiungibilità di una risorsa tramite ping ICMP.

Le capacità sono sufficienti per mostrare annunci senza consenso, generare traffico pubblicitario fraudolento e installare moduli successivi. L’esecuzione di JavaScript in WebView amplia ulteriormente il controllo sui contenuti caricati.

Il malware raccoglie anche informazioni tecniche sull’ambiente, tra cui risoluzione dello schermo, modello della head unit, identificativo della rete Wi-Fi e indirizzo MAC. Questi dati possono aiutare gli operatori a classificare i dispositivi e a distribuire comandi mirati.

Dalla frode pubblicitaria alla rete proxy

Uno degli aspetti più rilevanti è l’impiego dei comandi loadlib2 e http per installare zhima, un modulo reverse proxy già associato a campagne condotte tramite applicazioni IPTV presenti su economici Android TV box.

Una head unit compromessa può così diventare un nodo attraverso cui inoltrare traffico di terzi. La connessione mobile o Wi-Fi del veicolo viene sfruttata come se appartenesse a un utente legittimo, mentre l’operatore mantiene il controllo del flusso.

L’infezione serve quindi a due scopi collegati: monetizzare il dispositivo attraverso ad fraud e inserirlo in un’infrastruttura proxy. Il proprietario potrebbe notare consumi anomali di dati, rallentamenti o traffico di rete inatteso, ma il malware non offre segnali visibili affidabili.

MoYu e il contesto BADBOX

Kaspersky attribuisce la campagna con alta confidenza a MoYu, gruppo collegato allo schema BADBOX. Le attività del gruppo erano già state portate all’attenzione pubblica dal team HUMAN Satori Threat Intelligence and Research.

A luglio 2025 Google ha avviato un’azione legale contro 25 persone o entità non nominate in Cina, accusandole di gestire la botnet BADBOX e la relativa infrastruttura. Il caso delle head unit indica che l’operazione non si limita ai dispositivi Android più economici venduti come TV box.

Non è noto se questa specifica campagna abbia coinvolto un numero preciso di veicoli o quali mercati siano stati maggiormente colpiti. Non sono inoltre indicati identificativi CVE per la vulnerabilità sfruttata. Non risultano, nelle informazioni disponibili, elementi che collochino il difetto nel catalogo KEV della CISA.

Cosa verificare sulle unità interessate

Il problema del canale di aggiornamento è stato corretto, ma non sono note le versioni esatte della correzione. Chi gestisce veicoli dotati di head unit DoFun dovrebbe quindi verificare l’integrità del firmware e delle applicazioni di sistema, installando soltanto aggiornamenti provenienti dal produttore o dal rivenditore autorizzato.

Sul piano del monitoraggio, sono indicatori utili:

• traffico verso cardoor[.]cn;
• connessioni a 144.217.243[.]201;
• richieste periodiche verso /cpc/api/task;
• APK o file con riferimenti da dex3.57 a dex3.68;
• applicazioni senza interfaccia grafica attive in background;
• uso anomalo di WebView o download di codice tramite loadlib2;
• traffico compatibile con un reverse proxy.

La presenza di uno di questi segnali non dimostra da sola l’infezione. Può però giustificare un controllo forense del firmware e delle applicazioni installate. Poiché la bonifica operativa dettagliata non è stata resa nota, la reinstallazione del software dovrebbe essere eseguita solo con immagini ufficiali e procedure del produttore.