Un nuovo malware che agisce nelle auto scoperto da Kaspersky prende di mira unità basate su Android e sfrutta il loro sistema di aggiornamento software. Si tratta del primo caso documentato di una catena di infezione progettata espressamente per gli infotainment dei veicoli. Il malware può operare in background, mostrare pubblicità indesiderate e scaricare ulteriori moduli dannosi.

Anche il sistema multimediale della nostra auto può diventare un bersaglio informatico.

Kaspersky ha scoperto nel giugno 2026 una nuova campagna malware rivolta agli infotainment basati su Android. Non parliamo semplicemente di un normale malware Android finito casualmente su un dispositivo installato in auto.

Secondo i ricercatori, questa rappresenta infatti la prima campagna documentata con una catena di infezione sviluppata appositamente per sistemi di infotainment veicolari.

L’obiettivo individuato da Kaspersky riguarda soprattutto frodi pubblicitarie e distribuzione di ulteriori componenti dannosi.

Non ci sono invece, nel report fornito, elementi per affermare che il malware prenda direttamente il controllo di freni, sterzo o altre funzioni critiche del veicolo.

Una distinzione importante.

Malware nelle auto: perché Android diventa un bersaglio

I sistemi di infotainment possono essere installati direttamente dal costruttore oppure aggiunti successivamente su automobili meno recenti.

Molti produttori utilizzano Android perché permette di personalizzare facilmente l’interfaccia e aggiungere componenti di sistema. Questa flessibilità ha però una conseguenza: anche molte applicazioni Android standard, compreso software malevolo, possono teoricamente essere eseguite su questi dispositivi.

Un infotainment normalmente non conserva la stessa quantità di informazioni sensibili presente su uno smartphone.

Questo non significa che sia poco interessante per un aggressore.

Molte unità dispongono infatti di slot SIM e collegamento Internet costante, necessario per navigazione, servizi online e aggiornamenti software.

Ed è proprio il meccanismo degli aggiornamenti a essere diventato centrale nella campagna scoperta da Kaspersky.

Malware nelle auto: arrivava attraverso gli aggiornamenti

La parte più interessante dell’attacco riguarda il vettore utilizzato.

Il malware sarebbe stato distribuito attraverso i meccanismi di aggiornamento integrati nel firmware di diversi modelli di infotainment Android gestiti da DoFun.

Kaspersky ha segnalato la situazione al fornitore e, secondo quanto comunicato dalla stessa DoFun, il problema è stato risolto.

L’infezione partiva da un’applicazione legittima chiamata TWCore.

Normalmente TWCore si occupava della raccolta di dati analitici e dell’aggiornamento del software presente sul sistema di infotainment. Riceveva dal server del produttore indicazioni sulle app da installare o aggiornare.

Gli aggressori sono riusciti a sfruttare proprio questo canale.

Malware nelle auto: JarService entrava in azione senza mostrarsi

Attraverso il sistema di aggiornamento veniva distribuito un dropper chiamato JarService.

La catena era articolata su più fasi ed era stata progettata per ridurre le possibilità di rilevamento.

Il malware veniva installato come una normale applicazione utente, ma non mostrava alcuna interfaccia. Continuava quindi a funzionare in background senza attirare l’attenzione del proprietario del veicolo.

È proprio questo aspetto a rendere la vicenda interessante.

L’utente non doveva necessariamente installare manualmente una strana applicazione scaricata da un sito sconosciuto. La catena sfruttava una funzione che, in condizioni normali, dovrebbe servire proprio a mantenere aggiornato il dispositivo.

Nove comandi per pubblicità e altri moduli dannosi

Kaspersky ha individuato nove diversi comandi implementati dagli aggressori.

Tra le capacità osservate troviamo la visualizzazione di pubblicità indesiderate, attività di frode pubblicitaria e il download di ulteriori moduli malevoli.

Il malware raccoglieva inoltre alcune informazioni tecniche.

Tra queste figurano risoluzione dello schermo, modello del dispositivo, identificativo della rete Wi-Fi collegata e indirizzo MAC dell’unità.

Non è quindi soltanto un adware particolarmente fastidioso.

La possibilità di scaricare componenti aggiuntivi lascia agli aggressori margine per modificare successivamente il comportamento del dispositivo compromesso.

Kaspersky collega la campagna a MoYu e BadBox

L’analisi ha portato Kaspersky a individuare collegamenti con il MoYu Group, un soggetto associato alla botnet BadBox.

I ricercatori hanno confrontato la nuova attività con campagne già osservate contro set-top box televisivi. Sono inoltre emerse somiglianze tra il pannello di amministrazione della botnet e alcuni servizi proxy residenziali.

BadBox viene descritta da Kaspersky come una rete su larga scala di dispositivi Android compromessi.

Tra questi figurano set-top box, smartphone e tablet che, in alcuni casi, possono essere forniti già infettati direttamente dalla fabbrica.

Le backdoor vengono sfruttate per attività come frodi pubblicitarie, sottrazione di dati e utilizzo delle reti domestiche come punti di inoltro illegali per traffico proxy.

Gli aggressori stanno cercando nuove piattaforme

Secondo Dmitry Kalinin, Security Researcher di Kaspersky, i metodi utilizzati per diffondere questo tipo di malware stanno diventando sempre più vari.

Si passa da backdoor preinstallate ad applicazioni IPTV compromesse, fino al caso descritto nel nuovo report, dove viene sfruttata la normale funzione di aggiornamento software di un’applicazione di sistema.

Per Kaspersky è un segnale importante.

Gli aggressori stanno iniziando a guardare con maggiore attenzione a piattaforme che fino a poco tempo fa erano considerate marginali rispetto a smartphone e computer.

L’infotainment dell’auto entra ora in questa lista.

Il problema non è solo nelle auto più moderne

C’è un dettaglio che rende la vicenda ancora più interessante.

Gli infotainment Android non si trovano soltanto sulle automobili appena uscite dalla fabbrica.

Esistono moltissime unità aftermarket, installabili anche su veicoli più vecchi per aggiungere navigazione, streaming, connettività e altre funzioni moderne.

Significa che la superficie potenziale non riguarda soltanto le nuove auto connesse.

Ogni dispositivo Android collegato stabilmente alla rete deve essere considerato, prima o poi, anche dal punto di vista della sicurezza.

L’infotainment diventa un nuovo fronte della cybersecurity

Il dato importante di questa ricerca non è quindi soltanto l’esistenza di un altro malware.

È dove è stato trovato e soprattutto come è stato distribuito.

Una catena di aggiornamento legittima è stata sfruttata per portare software malevolo direttamente all’interno di sistemi montati sulle automobili.

DoFun sostiene di aver corretto il problema segnalato da Kaspersky. Resta però il significato più ampio della scoperta.

Gli infotainment sono ormai veri computer connessi, spesso sempre online e basati su piattaforme software molto simili a quelle che utilizziamo ogni giorno.

Era quindi probabilmente soltanto questione di tempo prima che diventassero un obiettivo specifico.

Come sottolinea Kaspersky, le moderne piattaforme automobilistiche hanno bisogno di una protezione più robusta contro il malware, proprio perché gli aggressori stanno iniziando a conquistare nuove categorie di dispositivi.