Malware Android per head unit auto: scoperto tramite app preinstallata
Primo malware Android per sistemi multimediali auto scoperto da Kaspersky, diffuso tramite app preinstallata su dispositivi DoFun.
Il primo malware Android progettato appositamente per i sistemi multimediali delle auto è stato scoperto da Kaspersky, diffondendosi attraverso un’app preinstallata su dispositivi DoFun. Il rischio riguarda soprattutto gli head unit aftermarket economici, che spesso non ricevono aggiornamenti regolari e sono collegati a internet in modo permanente. Il malware, denominato “zhima”, è stato rilevato nel giugno 2026 e potrebbe essere collegato al gruppo dietro BADBOX, una rete di dispositivi infetti già nota per aver colpito telecamere e altri oggetti connessi.
Un attacco tramite aggiornamento legittimo
Il malware è entrato nei dispositivi attraverso TWCore, un’applicazione legittima preinstallata su head unit DoFun, che raccoglie statistiche d’uso e gestisce gli aggiornamenti del software. Il meccanismo funzionava in modo simile a un sistema di aggiornamento normale, ma tra le opzioni disponibili c’era una funzione che permetteva di installare applicazioni non presenti prima sul dispositivo. Sfruttando questa falla, è stato installato un piccolo programma privo di interfaccia visibile, che a sua volta scaricava altri componenti in più passaggi, ognuno cifrato per rendere più complessa l’analisi.
Il malware non punta a rubare dati personali, ma a creare una rete di dispositivi infetti. A differenza dei trojan tradizionali, questo malware non si concentra su dati bancari o personali, ma si propone di mostrare pubblicità fraudolente e di utilizzare la connessione del dispositivo come proxy per far passare traffico di terzi. Kaspersky ha individuato fino a nove comandi diversi eseguibili su richiesta di un server remoto, dal semplice invio di dati fino al download e all’esecuzione di codice aggiuntivo.
Un rischio per gli head unit economici
Il rischio principale riguarda gli head unit installati come accessorio economico dopo l’acquisto dell’auto, che spesso non ricevono aggiornamenti regolari e sono poco controllati. Questi dispositivi, spesso basati su Android, sono sempre accesi e connessi a internet, rendendoli ideali per costruire una rete di dispositivi infetti. Kaspersky ha segnalato la falla a DoFun, che ha corretto il sistema di aggiornamento, ma non è chiaro quanti dispositivi siano stati coinvolti o se gli utenti già colpiti siano stati avvisati.
La connessione permanente e la personalizzabilità di Android rendono questi dispositivi vulnerabili. Il modulo proxy, chiamato internamente “zhima”, è stato anche trovato su decoder televisivi da parte del team Nokia Deepfield, segno che la stessa infrastruttura viene riutilizzata su dispositivi di diversi tipi. Il gruppo MoYu, già collegato a BADBOX, potrebbe essere responsabile dell’attacco, con buona probabilità. Chi possiede un head unit Android dovrebbe verificare che riceva ancora aggiornamenti dal produttore e diffidare delle unità troppo economiche. La sicurezza dei dispositivi connessi sta diventando un tema sempre più rilevante, e il caso di questo malware dimostra come anche i sistemi di infotainment possano essere bersaglio di attacchi informatici. La connessione permanente, l’accesso a internet e la personalizzabilità di Android rendono questi dispositivi particolarmente vulnerabili, ma anche molto utili per gli attaccanti.