La Kaspersky ha rivelato di aver scoperto, nel giugno 2026, la prima campagna di malware documentata specificamente rivolta ai sistemi multimediali di automobili basati su Android. L'attacco sfruttava lo stesso meccanismo di aggiornamento del sistema per installare il malware JarService, senza alcun intervento del conducente. L'infezione avveniva attraverso un'applicazione legittima chiamata TWCore, utilizzata per gestire gli aggiornamenti nelle unità multimediali con software dell'azienda cinese DoFun.
Il malware rimaneva completamente discreto, senza presentare alcuna interfaccia visibile né richiedere autorizzazione da parte dell'utente. Dopo l'installazione, JarService stabiliva una comunicazione con server controllati dai criminali informatici e poteva scaricare componenti aggiuntivi. Gli aggressori riuscivano a raccogliere informazioni dal dispositivo infetto, tra cui modello, risoluzione dello schermo, indirizzo MAC e dati della rete Wi-Fi, oltre a poter generare clic fraudolenti su annunci pubblicitari per produrre ricavi illegali.
I ricercatori hanno scoperto inoltre che gli aggressori potevano installare un modulo chiamato "zhima", trasformando il sistema multimediale dell'auto in parte di una botnet. Questa rete permetteva di utilizzare le risorse del dispositivo, inclusa la connessione a internet, per instradare traffico di terzi senza la conoscenza del proprietario. La Kaspersky ha identificato nove comandi disponibili ai criminali informatici, tra cui frode pubblicitaria e download di ulteriori moduli dannosi.
La campagna è stata associata al gruppo MoYu, legato all'operazione criminale BadBox, che aveva già compromesso box televisivi, smartphone e tablet. Dopo essere stata informata dalla Kaspersky, la DoFun ha indicato che il problema è stato corretto. Tuttavia, l'azienda di cibersicurezza avverte che i sistemi multimediali automobilistici devono essere trattati come dispositivi connessi a internet, esposti a rischi simili a quelli di altri apparecchi Android, e raccomanda che gli aggiornamenti vengano installati solo attraverso i meccanismi ufficiali dei produttori.
