Malware Android nelle auto: updater DoFun crea una botnet proxy BADBOX

🛡️ Executive Summary

• Vettore: il componente di aggiornamento TWCore distribuisce JarService sui sistemi di infotainment Android basati sul firmware DoFun, senza richiedere un’installazione manuale.
• Impatto: la catena malware genera frodi pubblicitarie, scarica moduli aggiuntivi e trasforma la connessione dell’auto in un nodo proxy controllato dagli attaccanti.
• Mitigazione: DoFun dichiara di avere corretto il problema; gli utenti devono installare esclusivamente firmware ufficiali aggiornati e isolare i dispositivi che mostrano traffico o rallentamenti anomali.

Un malware Android ha trasformato i sistemi di infotainment di alcune automobili in nodi di una botnet proxy, sfruttando proprio il canale deputato agli aggiornamenti software. La campagna, individuata nel giugno 2026, interessa le unità di bordo che utilizzano firmware sviluppato da DoFun e introduce una catena d’infezione costruita specificamente per questo ambiente. Il codice malevolo non punta, secondo le evidenze disponibili, a controllare freni o sterzo: monetizza invece le risorse del dispositivo attraverso frodi pubblicitarie, traffico proxy e installazione di ulteriori moduli, estendendo l’ecosistema criminale associato a BADBOX.

L’aggiornamento legittimo diventa il vettore di infezione

La novità principale non risiede soltanto nel bersaglio automobilistico, ma nel modo in cui il malware raggiunge il dispositivo. La ricerca tecnica pubblicata da Kaspersky su Securelist descrive la prima catena documentata progettata per infettare unità di infotainment Android attraverso il loro sistema integrato di aggiornamento. Il componente coinvolto, TWCore, è un’applicazione di sistema legittima utilizzata per telemetria e distribuzione del software nei prodotti DoFun. TWCore riceve messaggi MQTT tramite un sottodominio di cardoor[.]cn; un parametro denominato installNotExists, se impostato su vero, permette di scaricare e installare anche pacchetti APK precedentemente assenti. La telemetria ha confermato che il pacchetto malevolo veniva installato da com.tw.core, senza dipendere dal sideloading volontario dell’utente. Il caso richiama Keenadu, la backdoor Android inserita direttamente nel firmware, perché in entrambi gli scenari la fiducia concessa alla filiera software diventa il punto d’ingresso.

JarService apre una catena malware articolata in tre stadi

Il primo componente installato prende il nome di JarService e non presenta icone o interfacce visibili. Al suo interno conserva blocchi di dati cifrati tramite XOR, dai quali ricava il loader del secondo stadio. Quest’ultimo raccoglie informazioni sull’impianto, contatta l’infrastruttura di comando e controllo attraverso una richiesta POST e riceve l’indirizzo dal quale scaricare il terzo payload, anch’esso protetto. I ricercatori hanno individuato sette varianti del secondo stadio, un elemento che indica un’attività di sviluppo e distribuzione non occasionale. Il terzo livello riceve comandi remoti come loadlib2 e http: il primo carica moduli nativi aggiuntivi, mentre il secondo consente di aprire pagine e generare visualizzazioni utilizzabili per le frodi pubblicitarie. Questa modularità permette agli operatori di cambiare funzione senza sostituire l’intera catena, seguendo una logica evolutiva osservata anche nella botnet Android Kimwolf v7, capace di combinare più infrastrutture e metodi operativi.

Zhima trasforma l’autoradio in un proxy controllato da remoto

Tra i moduli installati attraverso loadlib2 compare Zhima, componente del quale sono state recuperate almeno otto varianti. Il suo compito consiste nel trasformare il sistema di infotainment in un punto di transito per connessioni provenienti da soggetti esterni. Il malware comunica agli operatori modello del dispositivo, risoluzione dello schermo, indirizzo MAC e informazioni sulla rete Wi-Fi collegata, dati utili per classificare e utilizzare commercialmente ogni nodo. Una connessione associata a un’automobile reale può apparire meno sospetta di un server ospitato in un data center e diventare quindi una risorsa per aggirare controlli geografici, sistemi antifrode e filtri reputazionali. Lo stesso modello economico emerge con Mirax RAT, che converte gli smartphone Android in proxy SOCKS5 residenziali. L’auto compromessa non costituisce necessariamente il bersaglio finale: diventa un’infrastruttura intermedia attraverso la quale nascondere altre attività criminali.

MoYu Group collega la campagna all’ecosistema BADBOX

Kaspersky attribuisce l’operazione con elevata confidenza al MoYu Group, già collegato all’ecosistema BADBOX. L’attribuzione deriva dalla combinazione di più indizi tecnici: il thread mosdk-host-loader, le somiglianze con l’applicazione malevola per TV box com.abc.nexus, il servizio denominato AdmoyuService e la sovrapposizione delle infrastrutture di rete. Le rilevazioni comprendono inoltre famiglie riconducibili a Zhima e Vo1d. I ricercatori associano gli operatori anche ai servizi proxy PXYEDGE e ProxyForU, mostrando come l’infezione possa alimentare un mercato nel quale l’accesso alla connessione della vittima viene rivenduto a terzi. Il funzionamento coincide con quello delle reti Residential Proxy impiegate dalle botnet del cybercrime: il proprietario sostiene consumo di banda, rallentamenti e rischio reputazionale, mentre gli attaccanti ottengono indirizzi IP distribuiti difficili da bloccare senza coinvolgere anche utenti legittimi.

Il rischio riguarda l’infotainment, non il controllo dinamico dell’auto

Le evidenze pubblicate non dimostrano che gli attaccanti abbiano raggiunto sistemi critici come sterzo, frenata o propulsione. La compromissione osservata riguarda l’unità Android di infotainment, che può essere installata in fabbrica oppure aggiunta successivamente. Questi dispositivi gestiscono normalmente navigazione, applicazioni multimediali, connettività e aggiornamenti; in alcune configurazioni interagiscono anche con funzioni accessorie del veicolo, ma questo non autorizza a dedurre un controllo completo dell’automobile. Gli effetti accertati comprendono consumo di risorse, traffico di rete non autorizzato, possibile instabilità dell’interfaccia e capacità di scaricare payload arbitrari in futuro. La distinzione resta importante: la campagna nasce per la monetizzazione criminale silenziosa, non come operazione di sabotaggio veicolare. Allo stesso tempo, le vulnerabilità dimostrate durante Pwn2Own Automotive 2026 sui sistemi di infotainment confermano che questi apparati costituiscono ormai una superficie d’attacco autonoma e devono ricevere protezioni paragonabili a quelle degli altri endpoint connessi.

La difesa deve proteggere l’intera filiera degli aggiornamenti

DoFun, informata dai ricercatori, ha dichiarato di avere corretto i problemi di sicurezza. La ricostruzione di Kaspersky rivolta agli automobilisti precisa che la campagna riguarda i sistemi basati sul software dell’azienda e non genericamente Android Auto o tutte le unità Android presenti sul mercato. Gli utenti dovrebbero verificare modello e versione del firmware attraverso il produttore o l’installatore, applicare l’aggiornamento correttivo esclusivamente da fonti ufficiali e monitorare rallentamenti, pubblicità inattese e consumo anomalo di dati. Un ripristino di fabbrica potrebbe non essere sufficiente se il componente incaricato di reinstallare il malware rimane nella partizione di sistema o continua a ricevere istruzioni dalla stessa infrastruttura. In presenza di indicatori sospetti conviene isolare temporaneamente l’unità da Wi-Fi, hotspot e SIM, rivolgendosi al supporto invece di installare immagini reperite su forum non verificati. Per i produttori, la lezione impone pacchetti firmati, manifest autenticati, protezione dei canali MQTT, allowlist delle applicazioni, rollback protection e registri verificabili degli aggiornamenti: quando viene compromesso l’updater, viene compromesso anche il principale meccanismo sul quale l’utente dovrebbe poter fare affidamento per ripristinare la sicurezza.