Realiza fraude publicitario y crea una red de bots proxy
Investigadores de ciberseguridad han detectado una nueva familia de malware diseñada específicamente para infectar el firmware de las unidades principales de vehículos basadas en Android, desarrollado por DoFun.
Kaspersky, que descubrió la amenaza en junio de 2026, afirmó que el objetivo final del malware es servir como descargador en varias etapas para permitir el fraude publicitario y la creación de una red de bots proxy.
"El malware se propagó a través de los actualizadores integrados del firmware de las unidades principales de los automóviles con sistema operativo Android", declaró el investigador de seguridad Dmitry Kalinin. "Este es el primer caso documentado de malware detectado en una unidad principal de automóvil con una cadena de infección específica para este tipo de dispositivo".
La actividad se ha atribuido con alta probabilidad al Grupo MoYu, que fue desenmascarado el año pasado por el equipo de Investigación e Inteligencia de Amenazas HUMAN Satori como parte de un esquema más amplio de fraude publicitario y suplantación de identidad residencial denominado BADBOX. En julio de 2025, Google presentó una demanda contra 25 personas o entidades no identificadas en China por supuestamente operar la red de bots BADBOX y su infraestructura.
La unidad principal del automóvil es un centro de control que combina funciones multimedia con un control parcial sobre ciertas funciones del vehículo. Puede venir instalada de fábrica o, en vehículos más antiguos, como parte de una actualización posterior a la compra. Dado que las unidades principales con Android se han popularizado tanto en las adaptaciones posteriores a la compra como en los vehículos de fábrica, una gran cantidad de aplicaciones estándar, y por extensión el malware, también pueden ejecutarse en ellas.
Esto, a su vez, los convierte en un objetivo emergente para los ciberdelincuentes, ya que cuentan con una ranura para tarjeta SIM que permite el acceso a Internet para la navegación y las actualizaciones de software.
"Los métodos de distribución de este tipo de malware son cada vez más variados, desde puertas traseras preinstaladas hasta aplicaciones de IPTV comprometidas", declaró Kalinin en un comunicado. "En este caso investigado, observamos un método de distribución aún más sofisticado que explota la funcionalidad legítima de actualización de software de una aplicación del sistema".
En concreto, esto implica la distribución del malware a través de los mecanismos de actualización integrados en el firmware de varios modelos de unidades principales Android con tecnología DoFun. Tras la divulgación responsable del problema, se ha solucionado la causa de este abuso en la distribución del software.
