Tu pantalla de coche ahora es un proxy para cibercriminales: el golpe de MoYu a los sistemas Android de DoFun
Un vehículo estacionado en el garaje de una oficina puede parecer inofensivo. Sin embargo, su pantalla multimedia, completamente apagada a la vista del dueño, podría estar enviando ráfagas de datos cada 90 minutos a servidores en China. No es una hipótesis de ciencia ficción: la firma de ciberseguridad Kaspersky ha detectado en junio de 2026 la primera cadena de infección diseñada específicamente para comprometer ordenadores de a bordo en automóviles.
El ataque, de tipo cadena de suministro, ha tomado como objetivo los sistemas de DoFun, un proveedor de software y hardware automotriz propiedad de Shenzhen Driving Control Technology Co., Ltd. DoFun suministra soluciones digitales a más de 30 millones de propietarios de vehículos en todo el mundo. La gravedad de esta ofensiva radica en que los atacantes no necesitaron manipular físicamente los equipos de los usuarios. En su lugar, secuestraron el canal de actualizaciones digitales de la propia compañía para colar el código malicioso.
El engranaje técnico se activó mediante la aplicación legítima del sistema TWCore (com.tw.core). A través de un servidor MQTT alojado en el dominio cardoor[.]cn, los atacantes forzaron la descarga de una aplicación invisible y sin interfaz gráfica llamada JarService. Una vez dentro del vehículo, este programa ejecuta cargadores de etapas posteriores para comunicarse con su servidor de comando y control (C2). A partir de ahí, el coche queda a mercer de las órdenes recibidas, reportando detalles sensibles como el modelo, la resolución de pantalla, el SSID de la red Wi-Fi y la dirección MAC.
Detrás de esta operación se encuentra el grupo cibercriminal MoYu, una organización de habla china estrechamente vinculada a la célebre botnet de malware BadBox. Los antecedentes de este grupo son amplios. En octubre de 2023, la firma HUMAN Security ya identificó la botnet original que introducía el código malicioso Triada en televisores Android baratos de origen chino. Posteriormente, en marzo de 2025, la operación escaló con BadBox 2.0, infectando más de un millón de dispositivos en el planeta. El nivel de alerta provocó que, en julio de 2025, el gigante tecnológico Google interpusiera una demanda judicial en Estados Unidos contra 25 entidades e individuos chinos vinculados a esta red de fraude.
En esta nueva versión adaptada a vehículos, el malware soporta nueve comandos distintos, incluyendo directivas para copiar el portapapeles o ejecutar código arbitrario. Kaspersky descubrió que el principal objetivo de los atacantes es cargar un módulo de proxy inverso llamado "zhima". Este módulo convierte la pantalla multimedia del coche en un nodo zombi, vendiendo su ancho de banda a los servicios de proxy residencial de pago PXYEDGE y ProxyForU, además de realizar fraude publicitario mediante clics invisibles. El vector inicial de compromiso que permitió a los atacantes manipular el servidor MQTT legítimo de DoFun no ha sido confirmado por fuentes públicas hasta ahora.
DoFun ha comunicado oficialmente que ya ha subsanado el fallo de seguridad en sus actualizaciones. Aunque Kaspersky asegura que el troyano JarService no interfiere con sistemas de control críticos como los frenos, la dirección o el motor, las consecuencias son reales.
A partir de mañana, la compra de una consola de infoentretenimiento genérica basada en Android Open Source Project (AOSP) o el uso de un coche conectado implica un nuevo riesgo físico. No solo experimentarás una degradación en el rendimiento de tu pantalla y un consumo fantasma en tu tarifa de datos. Si aparcas tu coche en el garaje de tu empresa y este se conecta automáticamente al Wi-Fi de la oficina, los atacantes podrán usar tu propio vehículo como puente de entrada para infiltrarse en la red corporativa simulando tráfico de confianza. Tu coche ya no es solo un medio de transporte; es una puerta trasera con ruedas.
0 Comentarios