Kaspersky scopre la prima campagna di malware per i sistemi di infotainment delle auto

Nel giugno del 2026, i ricercatori di Kaspersky hanno individuato un nuovo e sofisticato malware per Android che prende di mira specificamente i sistemi di infotainment dei veicoli, segnando il primo caso documentato di infezione mirata per questa tipologia di piattaforme veicolari. Sotto forma di un downloader multistadio occultato, la campagna ha l'obiettivo principale di distribuire codice dannoso volto a compiere frodi pubblicitarie e altre attività illecite. Gli esperti di sicurezza informatica attribuiscono con buona probabilità questa attività al MoYu Group, un gruppo di attaccanti strettamente collegato alla famigerata botnet BadBox.

I sistemi di infotainment, che combinano funzioni multimediali e talvolta di controllo dell'auto, utilizzano spesso il sistema operativo Android per personalizzare le interfacce, rendendoli compatibili con la maggior parte delle applicazioni e dei malware tradizionali. Sebbene raramente memorizzino dati personali sensibili, questi dispositivi dispongono solitamente di slot per schede SIM e di un accesso costante a Internet per la navigazione e gli aggiornamenti, caratteristiche che li trasformano in un bersaglio particolarmente appetibile per gli hacker. La propagazione del malware è avvenuta sfruttando i meccanismi di aggiornamento integrati nel firmware di diversi modelli di unità di infotainment basate su Android e gestite da DoFun, un problema che il fornitore ha provveduto a risolvere dopo la segnalazione. La complessa catena di infezione ha origine da un’applicazione di sistema legittima chiamata TWCore, originariamente incaricata della raccolta di dati analitici e dell'aggiornamento software, la quale riceveva istruzioni dai server del produttore.

Gli autori dell'attacco hanno manipolato questo canale per distribuire un dropper denominato JarService, installando furtivamente il malware in background come normale applicazione priva di interfaccia utente. Il codice malevolo, dotato di nove comandi distinti, è in grado di mostrare pubblicità indesiderate, perpetrare frodi e raccogliere informazioni tecniche sul dispositivo, tra cui la risoluzione dello schermo, il modello, l'identificativo Wi-Fi e l'indirizzo MAC. Questa scoperta evidenzia stretti collegamenti con precedenti attacchi ai set-top box televisivi condotti attraverso la botnet BadBox, una vasta rete di dispositivi compromessi fin dalla fabbrica e sfruttati per scopi illeciti. Come sottolineato dai ricercatori, i metodi di diffusione si stanno evolvendo rapidamente verso soluzioni sempre più sofisticate che sfruttano le funzionalità di sistema legittime, lanciando un chiaro e urgente monito sulla necessità di proteggere le moderne piattaforme automobilistiche contro le minacce informatiche emergenti