Kaspersky ha scoperto nel giugno 2026 una nuova famiglia di malware Android che infetta le unità head unit automobilistiche del vendor DoFun attraverso il loro meccanismo di aggiornamento firmware integrato. I dispositivi compromessi vengono convertiti in nodi per ad fraud e proxy botnet residenziale, con attribuzione al MoYu Group, attore legato all'ecosistema BADBOX. È il primo caso documentato di infezione con una catena di compromissione specificamente progettata per sistemi infotainment veicolari.
- Il vettore è l'updater legittimo TWCore (com.tw.core), che riceve comandi via MQTT dal dominio cardoor[.]cn per installare app non presenti originariamente sul dispositivo
- Il dropper JarService avvia una catena multi-stadio con sette varianti di payload recuperate (versioni 3.57-3.68) e richieste C2 ogni 90 minuti
- Il modulo zhima trasforma le head unit in proxy reverse, con sovrapposizione infrastrutturale confermata indipendentemente su TV box da Nokia Deepfield
- DoFun serve oltre 30 milioni di proprietari di veicoli; Kaspersky ha notificato il vendor, che ha riferito di aver corretto i problemi di sicurezza
Come l'updater TWCore diventa il vettore di infezione
Il malware sfrutta un meccanismo di aggiornamento legittimo per infiltrarsi senza alcuna interazione dell'utente. TWCore, applicazione di sistema presente sulle head unit DoFun, utilizza un broker MQTT su cardoor[.]cn per ricevere istruzioni di deployment. Il campo installNotExists permette di installare APK non originariamente presenti sul dispositivo: gli attaccanti hanno usato questa funzionalità per veicolare il dropper JarService.
Il file APK viene scaricato nella directory <TWCore external cache dir>/push/apk/ e installato silenziosamente. La telemetria Kaspersky mostra JarService in quel percorso, con com.tw.core come pacchetto installante. Questo meccanismo rende la compromissione invisibile all'utente, che non vede richieste di permesso né notifiche di installazione.
La catena prosegue con un loader che contatta server di comando e controllo. I payload, identificati in sette versioni distinte dal 3.57 al 3.68, contengono blocchi XOR-criptati con dati serializzati; il punto di ingresso è il metodo wa della classe com.c.j.qbh. La versione di configurazione più aggiornata osservata è la 3.82.
Da dropper a proxy: il percorso del payload multi-stadio
Il payload finale invia richieste POST all'endpoint /cpc/api/task ogni 90 minuti, trasmettendo informazioni sul dispositivo compromesso. I comandi C2 recuperati dall'analisi includono: return (risposta base), http (esecuzione POST/GET), web (caricamento WebView con JavaScript arbitrario), loadlib2 (download ed esecuzione di codice da URL), e traceroute (diagnostica di rete).
Il comando web abilita l'injection di JavaScript in una WebView invisibile, funzionalità utilizzata per attività di ad fraud: il dispositivo simula visualizzazioni di annunci e interazioni utente senza che il conducente ne sia consapevole. Il comando loadlib2 è usato per scaricare il modulo zhima, che converte la head unit in proxy reverse.
L'infrastruttura C2 mostra collegamenti con admin.uipoxy[.]com, dominio che ospita un pannello di amministrazione per servizi proxy residenziali. Le pagine di registrazione associate presentano documenti tipici di provider commerciali di proxy, indicando un modello di monetizzazione strutturato: i dispositivi veicolari, sempre accesi e con connettività 4G/5G, offrono banda a bassa latenza e alta affidabilità per clienti che pagano per anonimato geografico.
L'attribuzione al MoYu Group e l'ecosistema BADBOX
Kaspersky attribuisce l'attività al MoYu Group con alta confidenza. La valutazione si basa su tre convergenze: artefatti di naming nel codice malevolo, somiglianze strutturali con software documentato su set-top box, e sovrapposizione sostanziale nell'infrastruttura di rete. HUMAN Security, in analisi separata, ha identificato MoYu Group come sviluppatore del backdoor BADBOX 2.0 e operatore dei servizi proxy PXYEDGE e ProxyForU.
L'operazione BADBOX 2.0, secondo HUMAN, ha compromesso oltre un milione di dispositivi consumer in 222 paesi e territori. Tra questi figurano anche unità di infotainment veicolari, confermando che l'estorsione del MoYu Group spazia oltre i tradizionali dispositivi IoT domestici. HUMAN ha collaborato con Google e Shadowserver per la disruption dell'infrastruttura, segnalando l'adozione di tecniche mappate nel framework MITRE ATT&CK.
"This is the first documented case of malware found on a car head unit with an infection chain specific to that type of device." — Dmitry Kalinin, Kaspersky
Perché le piattaforme automotive ereditano le fragilità dell'IoT
Il caso DoFun esemplifica una transizione critica nel threat landscape: le piattaforme Android automobilistiche ereditano le stesse vulnerabilità di supply chain che hanno caratterizzato i dispositivi IoT consumer. Le head unit non sono smartphone con uno schermo più grande: eseguono versioni Android Open Source Project spesso prive di certificazione Google Play Protect, con meccanismi di aggiornamento controllati dal vendor e limitata visibilità per l'utente finale.
La connettività costante e l'alimentazione garantita dal veicolo rendono le head unit target appetibili per operazioni che richiedono persistenza e banda stabile. A differenza di uno smartphone che si spegne o esce dalla rete, un veicolo in sosta mantiene il sistema infotainment attivo per ore, offrendo continuità operativa ai botnet operator.
Il numero esatto di head unit compromesse nella campagna specifica non è quantificato nelle fonti. Non emerge una geografia precisa delle infezioni: la telemetria Kaspersky non dettaglia localizzazioni, e la data di inizio della campagna resta indeterminata, sebbene la versione 3.57 suggerisca attività precedente alla scoperta. L'entità delle perdite economiche generate dall'ad fraud e dal proxy botnet su questi specifici dispositivi non è dichiarata.
Cosa fare adesso
- Verificare la certificazione del dispositivo: le head unit Android aftermarket o di marca cinese spesso eseguono build AOSP senza Play Protect; la certificazione Google è un indicatore di hardened update mechanism
- Monitorare il consumo anomalo di dati mobili: il traffico C2 ogni 90 minuti e l'attività proxy generano pattern di upload sostenuto visibile nelle statistiche dell'operatore telefonico
- Controllare la presenza di app di sistema non documentate: JarService e TWCore operano senza interfaccia utente, ma strumenti di analisi ADB possono rivelare pacchetti sospetti con permessi SYSTEM
- Richiedere conferma di ricezione e installazione del fix al vendor: Kaspersky ha notificato DoFun, che ha riferito correzioni, ma la verifica indipendente della distribuzione effettiva non è disponibile
Domande frequenti
Il malware può compromettere i sistemi di sicurezza attiva del veicolo?
No. Le head unit DoFun gestiscono funzioni di infotainment e in parte comandi del veicolo, ma non i sistemi safety-critical come freni, sterzo o airbag. Il brief non documenta escalation verso bus veicolari primari.
Tutte le head unit Android sono vulnerabili?
No. Il problema specifico riguarda il firmware DoFun e il suo meccanismo TWCore. Altri vendor automotive con diversi sistemi di aggiornamento non sono necessariamente affetti, sebbene la logica di supply chain sia trasferibile.
È disponibile un CVE per questa vulnerabilità?
Nessuna fonte menziona un CVE assegnato per il meccanismo di aggiornamento TWCore. Il vettore di infezione è descritto come abuso di funzionalità legittima piuttosto che exploit di vulnerabilità software nel senso classico.
Il settore automotive sta imparando che l'infotainment non è un accessorio marginale ma un nodo di rete a pieno titolo. La gig economy criminale ha compreso prima di molti costruttori che il veicolo connesso offre risorse — banda, alimentazione, persistenza — difficili da replicare con infrastrutture tradizionali. La differenza tra un TV box compromesso e una head unit infetta è che la seconda viaggia con il proprietario, attraversa confini e cambia reti cellulari senza soluzione di continuità. Per gli operatori di proxy residenziali, è un valore aggiunto; per la sicurezza del dispositivo, una complicazione.
Fonti
- https://thehackernews.com/2026/08/android-car-malware-spreads-through.html
- https://securelist.com/android-head-unit-malware/121106/
- https://cyberinsider.com/badbox-linked-android-malware-has-now-infected-car-head-units/
- https://www.kaspersky.com/blog/car-botnet-malware-for-head-units-with-android/56296/
- https://www.humansecurity.com/learn/blog/satori-threat-intelligence-disruption-badbox-2-0/
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://thehackernews.com/search/label/Threat%20Intelligence
- https://thehackernews.com/search/label/Vulnerability
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.