Descubren primer malware que compromete sistemas de entretenimiento vehicular y los integra en redes criminales

La amenaza cibernética ha trascendido los límites de computadoras y dispositivos móviles para alcanzar los sistemas de infoentretenimiento instalados en automóviles modernos. Expertos en seguridad informática de Kaspersky revelaron el hallazgo de un troyano sofisticado detectado durante junio de 2026, dirigido específicamente hacia consolas automotrices que operan bajo plataforma Android. Este descubrimiento marca un hito importante al tratarse del primer caso confirmado donde código malicioso logra propagarse a través del mecanismo automático de actualización de firmware. A diferencia de otros ataques vehiculares documentados, los ciberdelincuentes detrás de esta campaña no buscaban controlar funciones críticas de conducción, sino más bien secuestrar la capacidad de procesamiento y conectividad de estas unidades para ejecutar esquemas de fraude publicitario e integrarlas en botnets de gran escala. Las consolas de infoentretenimiento son dispositivos que centralizan el control de múltiples funciones automotrices incluyendo navegación satelital, reproducción multimedia y acceso a servicios conectados. Muchos vehículos contemporáneos cuentan con estos sistemas permanentemente en línea ejecutando sistemas operativos basados en Android. El ataque identificado se enfoca en hardware provisto por DoFun, compañía tecnológica china especializada en soluciones de firmware, aplicaciones y servicios en la nube para el sector automotriz. Los atacantes explotaron TWCore, una herramienta legítima destinada a la gestión de actualizaciones, como vector de distribución para inyectar JarService, un instalador troyano que opera sin requerir intervención del usuario. Una vez presente en el sistema, JarService desencripta y ejecuta etapas posteriores del ataque. El código maligno establece comunicación con servidores remotos controlados por los atacantes, desde donde recibe instrucciones para descargar componentes adicionales, incluyendo un módulo clicker que genera falsas impresiones publicitarias con fines de monetización fraudulenta. También extrae datos sensibles del dispositivo como identificador MAC, especificaciones técnicas y credenciales de redes inalámbricas. La capacidad más inquietante del malware reside en su habilidad para ejecutar código arbitrario descargado dinámicamente. Mediante esta funcionalidad, los criminales instalaron un componente llamado zhima que subordina la consola infectada a una botnet, transformando vehículos comprometidos en nodos de una infraestructura criminal distribuida controlada remotamente sin conocimiento de los propietarios.