Un malware en la unidad principal de Android recluta vehículos para una botnet.

Investigadores de Kaspersky descubrieron una campaña que distribuye malware a través de las unidades principales de Android en los sistemas de infoentretenimiento de vehículos inteligentes. Los atacantes secuestran herramientas legítimas de actualización de firmware para instalar programas maliciosos sin la intervención del conductor. Como resultado, las unidades comprometidas redirigen secretamente el tráfico de proxy residencial y ejecutan fraude publicitario.

Distribución

El ataque se dirige al hardware de infoentretenimiento que ejecuta versiones personalizadas de Android, específicamente a los sistemas fabricados para vehículos DoFun. Según una investigación publicada por Kaspersky Labs, los atacantes comprometen el dispositivo a través de su software de mantenimiento preinstalado.

En concreto, el sistema utiliza una aplicación de telemetría legítima llamada TWCore para gestionar las actualizaciones de software. Durante el funcionamiento normal, un intermediario de mensajes MQTT transmite instrucciones de paquetes al vehículo. Sin embargo, el protocolo de actualización contiene una peligrosa opción de configuración llamada installNotExists. Cuando los atacantes envían instrucciones con esta opción activada, TWCore descarga e instala paquetes de aplicaciones arbitrarias en el almacenamiento interno. El actualizador del sistema se ejecuta con privilegios elevados, por lo que instala paquetes sin mostrar avisos al usuario.