Hackeo a autos: Infectan pantallas y las convierten en una botnet

Un malware detectado por Kaspersky comprometió sistemas Android para autos y aprovechó el mecanismo legítimo de actualización de DoFun. Los equipos podían ser utilizados para fraude publicitario y como intermediarios de tráfico de Internet sin que el propietario lo supiera.

La pantalla del auto acaba de convertirse en un nuevo frente para el ciberdelito. Investigadores de Kaspersky detectaron una campaña de malware diseñada específicamente para unidades multimedia Android instaladas en automóviles, capaces de convertir los equipos infectados en nodos de una red utilizada para fraude publicitario y tráfico mediante proxies.

Los atacantes no necesitaron que el conductor descargara una aplicación sospechosa. La infección aprovechó un mecanismo legítimo de actualización incorporado en determinados equipos fabricados por DoFun, proveedor chino de hardware y software para automoción.

Kaspersky detectó la amenaza en junio de 2026 y la presentó como el primer caso documentado de una cadena de infección desarrollada específicamente para este tipo de unidades automotrices. La compañía informó posteriormente que DoFun fue notificada y aseguró haber solucionado el problema.

¿Cómo comenzó el hackeo de los autos con pantallas Android?

El punto de entrada fue TWCore, una aplicación legítima que viene integrada en determinados sistemas de DoFun. Su función original es recopilar información analítica y gestionar actualizaciones del software de las unidades.

El problema apareció cuando ese canal confiable fue aprovechado para distribuir un archivo malicioso denominado JarService.

Según la investigación de Kaspersky, TWCore podía recibir instrucciones sobre qué aplicaciones debían instalarse o actualizarse. Los atacantes aprovecharon ese mecanismo para introducir el malware directamente en los dispositivos. La infección se desarrolló en varias etapas y fue concebida para permanecer prácticamente invisible para el usuario.

JarService no muestra una interfaz convencional ni necesita que el conductor interactúe con él. Una vez instalado, descifra y ejecuta el siguiente componente de la cadena, que se conecta con la infraestructura de los atacantes para descargar nuevas instrucciones y módulos.

El detalle más delicado está precisamente en que el vehículo recibe el malware desde un mecanismo que, en principio, existe para mantener actualizado el sistema.

¿Qué pueden hacer los hackers con un auto infectado?

El objetivo detectado por Kaspersky no fue tomar el control del volante ni manipular directamente los sistemas críticos de conducción. La finalidad observada es económica.

Los dispositivos comprometidos pueden utilizarse para fraude publicitario, generando actividad artificial sobre anuncios y páginas web, y también pueden incorporarse a una infraestructura de proxies. En este segundo escenario, la conexión a Internet del vehículo se transforma en un punto intermedio para que terceros canalicen tráfico a través de ella.

En términos simples, el auto puede terminar funcionando como una computadora conectada a internet que presta su conexión sin conocimiento del propietario.

Esto tiene valor para las redes criminales porque el tráfico parece provenir de un dispositivo residencial o de consumo legítimo, en lugar de salir directamente de la infraestructura utilizada por los atacantes.

Kaspersky identificó además capacidades para realizar solicitudes HTTP, abrir páginas mediante WebView, ejecutar JavaScript, copiar información al portapapeles y descargar componentes adicionales.

¿Qué información puede recopilar el malware de los autos?

Aunque las unidades multimedia no suelen almacenar la misma cantidad de información sensible que un teléfono, continúan siendo dispositivos conectados.

La investigación detectó que el malware puede obtener datos técnicos del equipo, entre ellos el modelo del dispositivo, la resolución de pantalla, el nombre de la red Wi-Fi y la dirección MAC.

Las unidades también pueden contar con conectividad permanente, incluso mediante una tarjeta SIM, para ofrecer servicios de navegación, actualizaciones y otras funciones. Esa conexión continua es precisamente uno de los elementos que las convierte en un recurso atractivo para una botnet.

El problema, por lo tanto, no termina en la pantalla. Una vez que un equipo conectado queda bajo control remoto, puede transformarse en infraestructura para otras actividades.

Además, la arquitectura descubierta permite incorporar nuevos módulos después de la infección. Esto significa que las capacidades observadas por los investigadores no necesariamente representan el límite de lo que el atacante podría intentar ejecutar en el futuro.

¿El hackeo de autos permite controlar el volante?

El ataque está dirigido a las unidades Android de entretenimiento e información y su objetivo identificado es monetizar los dispositivos mediante fraude publicitario y redes de proxies.

Kaspersky no informó que JarService haya intervenido sobre el motor, los frenos, la dirección u otros sistemas críticos del automóvil.

Eso no significa que el hallazgo sea menor. La seguridad informática de los vehículos depende cada vez más de componentes conectados que antes no tenían una exposición directa a internet.

Una pantalla multimedia puede parecer secundaria, pero si tiene conectividad permanente, sistema operativo, aplicaciones, mecanismos de actualización y capacidad de ejecutar código, comparte varias características con cualquier otro dispositivo conectado.

¿Quién está detrás del hackeo de las pantallas de los autos?

Kaspersky vinculó la campaña con MoYu, un grupo asociado anteriormente con la infraestructura de BadBox, una operación conocida por comprometer dispositivos Android y utilizarlos para fraude publicitario y servicios de proxy.

Los investigadores encontraron similitudes entre la infraestructura utilizada en esta campaña y elementos observados previamente en operaciones vinculadas con BadBox. Entre ellos aparecen coincidencias relacionadas con paneles de administración e infraestructura empleada en servicios de proxies residenciales.

BadBox ya había demostrado que los dispositivos Android aparentemente inocuos podían convertirse en piezas de una red criminal. La novedad en este caso es el salto hacia el ecosistema automotor.

¿Qué autos están afectados por este hackeo?

Kaspersky identificó la amenaza en unidades Android fabricadas por DoFun, tanto en sistemas que pueden instalarse de fábrica como en determinados equipos destinados al mercado de reemplazo o posventa.

La investigación no establece que todos los vehículos equipados con Android estén afectados ni que la totalidad de los productos de DoFun hayan sido comprometidos.

El elemento determinante es la combinación de hardware y firmware vulnerable al abuso del mecanismo de actualización de TWCore. Por eso, no corresponde interpretar el hallazgo como una infección masiva de todos los autos con Android.

Kaspersky informó que notificó a DoFun y que el fabricante indicó que el problema había sido corregido. No obstante, el caso vuelve a poner bajo la lupa un aspecto particularmente sensible de la industria: la seguridad de las actualizaciones que llegan directamente a los vehículos.