Un nuevo malware dirigido a las pantallas inteligentes de los autos que tiene por objetivo aprovechar la actualización del sistema operativo para instalar código malicioso de forma oculta, recopilar información técnica y realizar fraudes, fue hallado por expertos de Kaspersky.
Lisandro Ubiedo, analista Senior de Seguridad del Equipo Global de Investigación y Análisis para América Latina en Kaspersky, remarca que "este caso es especialmente relevante porque el ataque no depende de que el conductor descargue una aplicación sospechosa o haga clic en un enlace".
Y agrega: "Los ciberdelincuentes aprovecharon un canal en el que normalmente confiamos, como las actualizaciones del propio dispositivo, para instalar malware de forma silenciosa".
Según el experto, "eso cambia el nivel de riesgo, ya que una misma vía de actualización comprometida puede servir para llegar a muchos dispositivos y convertirlos, sin que sus propietarios lo sepan, en parte de operaciones de fraude o en una puerta para descargar nuevas amenazas".
"Además, demuestra que el malware de Android está expandiéndose más allá de celulares y televisores hacia los sistemas conectados de los vehículos. Cuantos más dispositivos incorporen Android y conexión permanente a Internet, más importante será proteger también esos nuevos puntos de acceso", apunta.
Los ciberdelincuentes encontraron un nuevo lugar para desplegar malware: la pantalla del auto.
Kaspersky descubrió el primer caso documentado de una amenaza diseñada específicamente para infectar estos dispositivos, aprovechando su propio sistema de actualización para entrar de forma oculta.
Una vez adentro, el programa puede ejecutar fraude publicitario y recopilar información sin que el conductor lo advierta.
La amenaza fue creada específicamente para pantallas de vehículos que funcionan con Android, un sistema operativo cada vez más utilizado en los sistemas de infoentretenimiento de autos.
El hallazgo fue realizado por el investigador Dmitry Kalinin en junio de 2026, mientras monitoreaba amenazas dirigidas a dispositivos Android.
Los investigadores relacionan esta campaña con MoYu Group, un actor vinculado a BadBox, una conocida red de dispositivos Android infectados a nivel global.
El riesgo no es menor: muchas de las pantallas que vienen instaladas en los automóviles, o que se agregan después en el mercado de accesorios, funcionan prácticamente como una tableta Android.
Esto significa que también pueden ejecutar aplicaciones maliciosas diseñadas para ese sistema operativo, del mismo modo que un celular o una tablet convencional.
Aunque normalmente no almacenan grandes cantidades de información personal, muchas permanecen conectadas a internet, utilizan tarjetas SIM y acceden a redes WiFi para funciones como mapas, navegación y actualizaciones.
Esa conectividad constante las está convirtiendo en un nuevo punto de entrada para los ciberdelincuentes.
Los dispositivos afectados en este caso específico corresponden a la marca china DoFun, un proveedor habitual del mercado de accesorios para vehículos, con sede en Asia.
Este tipo de pantallas puede venir instalada de fábrica por las propias automotrices o ser incorporada posteriormente como una mejora del sistema multimedia.
El ataque aprovecha algo que cualquier conductor consideraría completamente normal: una actualización del sistema de la pantalla.
Los ciberdelincuentes lograron manipular el mecanismo de actualización de varios modelos de pantallas Android del proveedor DoFun para instalar malware sin que el usuario tuviera que descargar nada ni notara algo extraño.
El punto de entrada fue TWCore, una aplicación legítima del sistema que viene preinstalada en estos dispositivos y se encarga, entre otras funciones, de recolectar datos de uso y gestionar las actualizaciones de software.
TWCore recibe instrucciones a través de un servidor de mensajería alojado en el dominio "cardoor.cn", que le indica qué archivos debe descargar e instalar.
Los investigadores de Kaspersky encontraron que un parámetro de configuración llamado "installNotExists" permitía que el sistema instalara aplicaciones que no estaban presentes previamente en el dispositivo. DoFun aseguró que ya corrigió la vulnerabilidad después de ser alertado por Kaspersky sobre el mecanismo de distribución.
Los atacantes manipularon el canal legítimo de TWCore para instalar de forma oculta un programa llamado JarService, que podía funcionar en segundo plano sin mostrar ventanas, alertas ni señales visibles para el conductor.
Se trata de una aplicación sin interfaz de usuario, que no intenta hacerse pasar por un servicio legítimo, ya que los atacantes no necesitan persuadir a nadie para que la instale de forma manual.
La infección avanza en tres etapas: primero actúa JarService como instalador inicial, luego un segundo componente recolecta información del dispositivo y se comunica con un servidor de comando y control, y finalmente se despliega un tercer módulo con funciones de "clicker" y proxy inverso.
Una vez instalado, el malware podía recibir hasta nueve tipos de instrucciones, entre ellas mostrar anuncios no deseados, generar fraude publicitario y descargar otros componentes maliciosos adicionales.
También recopilaba información técnica del dispositivo, como el modelo de la pantalla, su resolución, la red WiFi a la que estaba conectada y su dirección física (MAC).
Todo este proceso ocurre sin generar ningún indicio visible que alerte al conductor sobre lo que está sucediendo en segundo plano.
El principal riesgo es que, una vez comprometida, la pantalla deja de ser un dispositivo bajo el control exclusivo del conductor.
Los atacantes pueden ejecutar acciones de forma remota y silenciosa, mientras el sistema continúa funcionando aparentemente con normalidad ante los ojos de quien maneja el vehículo.
Esto amplía la superficie de ataque de los vehículos modernos y demuestra que sus sistemas multimedia también deben considerarse parte de la seguridad digital del automóvil, al igual que ocurre con las computadoras o los celulares.
Kaspersky encontró además vínculos entre la infraestructura utilizada en este ataque y BadBox, una gran red de dispositivos Android infectados que ya había sido identificada previamente por la firma de seguridad HUMAN Security en 2023.
Esta red ha sido utilizada históricamente para redirigir tráfico de internet sin autorización, robar información y construir redes de bots conocidas como botnets.
El objetivo final de este tipo de campañas suele ser monetizar de forma masiva el acceso a recursos que pertenecen a terceros, sin que las víctimas lo sepan.
A pesar de los esfuerzos de los expertos en ciberseguridad y de las autoridades para desmantelar redes como BadBox, los ciberdelincuentes continúan adaptando sus métodos y afectando dispositivos en distintas regiones del mundo.
La distribución de este tipo de malware se diversifica cada vez más, e incluye desde puertas traseras preinstaladas de fábrica hasta aplicaciones de IPTV alteradas para fines maliciosos.
"Hemos observado un método de distribución aún más sofisticado, que explota la funcionalidad legítima de actualización de software de una aplicación del sistema", explicó Dmitry Kalinin, investigador de seguridad en Kaspersky.
Este caso confirma que los sistemas de infoentretenimiento de los autos, cada vez más conectados y dependientes de Android, ya forman parte del mismo ecosistema de amenazas que enfrentan los celulares y las computadoras.
Para los especialistas, esto obliga tanto a fabricantes como a usuarios a repensar la seguridad de estos dispositivos con la misma seriedad con la que hoy se protege un teléfono inteligente.
La recomendación general apunta a mantener actualizado el software de la pantalla únicamente a través de los canales oficiales del fabricante y prestar atención a cualquier comportamiento inusual del sistema multimedia del vehículo.
Los expertos de Kaspersky recomendaron implementar tres puntos: