Kaspersky ha descubierto una nueva campaña de software malicioso para Android dirigida específicamente a las pantallas inteligentes de los vehículos. Estos sistemas, que a veces combinan entretenimiento multimedia y controles clave del automóvil, se han convertido en el nuevo objetivo de los ciberdelincuentes.
La ciberamenaza utiliza un programa de descarga de forma sigilosa en varias fases y supone el primer caso documentado de este tipo de código informático dañino que infecta la pantalla multimedia de un vehículo a través de una cadena de infección adaptada exclusivamente a estos sistemas automovilísticos. El propósito principal de los ciberdelincuentes es desplegar código malicioso para cometer fraudes publicitarios masivos y otras actividades perjudiciales. Según los investigadores, esta actividad se cree vinculada al grupo MoYu Group, un actor de ciberamenazas estrechamente relacionado a la conocida red de dispositivos infectados BadBox.
Las pantallas multimedia de los coches, ya sean de serie o instaladas posteriormente, emplean de forma habitual el sistema operativo Android para personalizar la interfaz y añadir funciones clave. Esto permite que la mayoría de las aplicaciones y el malware de Android puedan ejecutarse en ellas. Aunque estos dispositivos rara vez almacenan datos personales confidenciales, cuentan con ranuras para tarjetas SIM y conexión continua a Internet para la navegación por mapa y las actualizaciones, convirtiéndolos en una puerta de entrada atractiva para los ciberdelincuentes.
Actualizaciones comprometidas como vía de entrada
El software malicioso se distribuyó aprovechando los mecanismos de actualización integrados en el soporte lógico de varios modelos de pantallas Android del proveedor DoFun que afirma haber corregido ya la vulnerabilidad tras la notificación de Kaspersky. La cadena de infección se originaba en la aplicación legítima del sistema TWCore, encargada de recopilar analíticas y gestionar las actualizaciones del dispositivo. Los ciberdelincuentes manipularon este canal para entregar directamente un programa de instalación oculto denominado JarService, el cual actuaba en segundo plano sin interfaz de usuario y sin que el conductor notara nada extraño.
Una vez dentro, los ciberdelincuentes disponían de nueve órdenes distintas capaces de mostrar anuncios no deseados, ejecutar fraudes publicitarios y descargar módulos dañinos adicionales. Asimismo, el software malicioso recopilaba información técnica del vehículo, como la resolución de pantalla, el modelo, la red wifi conectada y la dirección física del dispositivo. Además, Kaspersky identificó que la infraestructura de este ciberataque comparte código y paneles de administración con servicios de servidores intermediarios ilegales vinculados a BadBox, una red masiva de dispositivos Android infectados que se utilizan para desviar tráfico no autorizado y robar datos.
«A pesar de los esfuerzos de los expertos en ciberseguridad y las autoridades por desmantelar redes como BadBox, los ciberdelincuentes continúan adaptando sus métodos e infectando dispositivos en todo el mundo. Los métodos de distribución de este tipo de malware son cada vez más variados: van desde puertas traseras preinstaladas hasta aplicaciones de IPTV comprometidas. En el caso analizado, hemos observado un método de distribución aún más sofisticado, que explota la funcionalidad legítima de actualización de software de una aplicación del sistema. Los actores malintencionados están conquistando activamente nuevas plataformas, y este software perjudicial es la primera aplicación diseñada específicamente para infectar pantallas de vehículos mediante una cadena de ataque adaptada. Esto sirve como una advertencia clara de que las plataformas automovilísticas actuales requieren urgentemente una protección sólida frente al software malicioso», destaca Dmitry Kalinin, investigador de seguridad en Kaspersky.
