Malware nelle autoradio Android: perché conta

Un nuovo caso di malware ha colpito le head unit Android montate su auto e veicoli, sfruttando il canale di aggiornamento integrato del dispositivo invece di una classica app scaricata dall’utente. La notizia riguarda anche le aziende italiane: se avete flotte, veicoli commerciali, auto aziendali o mezzi connessi, un sistema infotainment compromesso può diventare un punto d’ingresso secondario nella vostra superficie di attacco digitale.

Non stiamo parlando, in base alle informazioni disponibili, di un malware pensato per prendere il controllo della guida. Ma di una minaccia molto concreta per connettività, privacy, continuità operativa e reputazione: il dispositivo infetto può essere arruolato in una rete proxy malevola o usato per frodi pubblicitarie, consumando traffico dati e raccogliendo informazioni tecniche sul veicolo.

Cosa è successo

Il 21 agosto 2026 The Hacker News ha riportato una ricerca di Kaspersky su una nuova famiglia di malware progettata per infettare firmware di head unit automotive basate su Android sviluppate da DoFun. Il giorno successivo, BleepingComputer ha descritto l’operazione come un attacco di supply chain: non è l’utente a installare volontariamente un’app malevola, ma è un componente legittimo del sistema a diventare il veicolo di distribuzione.

Secondo Kaspersky, la minaccia è stata individuata a giugno 2026 e rappresenta il primo caso documentato di una catena di infezione costruita in modo specifico per questo tipo di dispositivo. L’operazione è stata attribuita con elevata confidenza al gruppo MoYu, già collegato in precedenza all’ecosistema BADBOX, noto per schemi di ad fraud e reti proxy abusive.

Il bersaglio sono più modelli di head unit Android basate su piattaforma DoFun, fornitore cinese di software, cloud e hardware per il settore automotive. Parliamo di quelle unità centrali che gestiscono navigazione, multimedia, impostazioni del veicolo e, in alcuni casi, alcune funzioni accessorie. Possono essere montate di fabbrica oppure installate come retrofit aftermarket.

Come è avvenuta l’infezione

L’elemento più interessante, e più preoccupante per chi gestisce dispositivi aziendali, è il metodo di diffusione. La campagna ha abusato di un’app di sistema legittima chiamata TWCore, identificata dal pacchetto “com.tw.core”. Questa applicazione serve a raccogliere dati di funzionamento e a gestire gli aggiornamenti software della head unit, scaricando file APK in base a istruzioni ricevute tramite un broker MQTT ospitato sul dominio cardoor[.]cn.

In pratica, gli attaccanti sono riusciti a trasformare il meccanismo di update in un canale di consegna del malware. Il file malevolo iniziale, chiamato JarService dai ricercatori, agisce come dropper: una volta eseguito, decripta e avvia un loader di secondo stadio, che poi contatta il server di comando e controllo e scarica il payload finale.

Quest’ultimo viene installato come normale applicazione utente, ma senza interfaccia visibile. Lavora in background, comunica periodicamente con l’infrastruttura degli attaccanti e riceve istruzioni operative. Kaspersky ha osservato che il malware invia una richiesta al server C2 ogni 90 minuti, trasmettendo informazioni sul dispositivo e sulla versione della configurazione.

Se la configurazione è considerata obsoleta, il server risponde con nuovi indirizzi C2 e nuovi percorsi per le richieste HTTP. Se invece è aggiornata, restituisce identificativi di comandi che il trojan associa alle azioni da eseguire.

A cosa serve questo malware

Dalle analisi pubblicate, l’obiettivo non sembra essere la compromissione dei sistemi critici di guida. BleepingComputer segnala infatti che Kaspersky non ha rilevato interferenze con la guida o con i controlli essenziali del veicolo. Questo non rende però il problema marginale.

La finalità principale è economica. Il malware supporta nove comandi che consentono di:

• effettuare richieste web controllate da remoto;
• aprire pagine in WebView ed eseguire JavaScript arbitrario;
• scaricare ed eseguire moduli aggiuntivi;
• verificare la raggiungibilità di risorse in rete;
• copiare contenuti negli appunti del dispositivo;
• raccogliere informazioni tecniche dal sistema.

Tra i moduli caricati dagli attaccanti figura “zhima”, descritto come componente di reverse proxy. In termini semplici, la head unit infetta può trasformarsi in un nodo di una proxy botnet: il traffico di terzi passa attraverso la connessione del veicolo, mascherando l’origine reale delle attività online. Parallelamente, l’infezione può essere usata per frodi pubblicitarie, cioè per generare visualizzazioni, click o interazioni false utili a monetizzare campagne illecite.

Perché questa notizia è diversa da un normale malware Android

Il punto non è solo “un altro malware su Android”. Qui emergono tre aspetti che interessano direttamente il mondo aziendale.

Il primo è la supply chain. Quando il vettore di attacco è il sistema di aggiornamento incorporato, l’utente finale ha pochissimo margine per accorgersene. È lo stesso problema che vediamo sempre più spesso anche su PC, server, router, NAS e software gestionali: la fiducia nella filiera digitale può essere sfruttata dagli attaccanti.

Il secondo è il tipo di dispositivo colpito. Una head unit automotive non viene quasi mai gestita con lo stesso rigore di un notebook o di uno smartphone aziendale. Eppure oggi è un oggetto connesso, con sistema operativo, rete dati, applicazioni e possibilità di eseguire codice. In altre parole, è un endpoint a tutti gli effetti.

Il terzo è il contesto d’uso. Un’auto aziendale viaggia, si collega a hotspot, reti Wi‑Fi e SIM dati, viene usata da persone diverse e spesso contiene rubrica, cronologia, account, dati di navigazione e accoppiamenti Bluetooth con telefoni di dipendenti o collaboratori. Anche senza accesso ai sistemi di guida, un’infezione può avere impatti organizzativi e privacy non trascurabili.

Quali rischi concreti ci sono per un’azienda

Per una PMI, per uno studio professionale con auto di rappresentanza o per un’azienda con flotta tecnica o commerciale, i rischi principali sono quattro.

Il primo è il consumo anomalo di connettività. Una proxy botnet usa banda. Se la head unit ha una SIM dati aziendale, il traffico indesiderato può aumentare costi e degradare il servizio.

Il secondo è la raccolta di informazioni sul dispositivo. Le fonti parlano di modello, risoluzione, SSID Wi‑Fi connesso e MAC address. Non è il contenuto più sensibile in assoluto, ma può aiutare profilazione tecnica, ricostruzione dell’ambiente e attività fraudolente successive.

Il terzo è il rischio reputazionale e legale. Se la connettività del mezzo viene usata come uscita per traffico malevolo o discutibile, l’azienda può trovarsi coinvolta in segnalazioni, blocchi o verifiche, pur essendo vittima.

Il quarto è la mancanza di visibilità. Questi dispositivi raramente rientrano nei processi standard di inventario, monitoraggio e aggiornamento. È proprio questa zona grigia che li rende appetibili.

Cosa significa per la tua azienda

Se avete anche solo pochi veicoli con infotainment Android, soprattutto aftermarket o di provenienza eterogenea, vale la pena inserire questi sistemi nell’inventario degli asset digitali.

Ecco le azioni più utili, subito:

1. Mappate i dispositivi presenti in flotta
   Identificate marca, modello, fornitore, anno di installazione, connettività disponibile e modalità di aggiornamento. Spesso questa informazione non è centralizzata.

2. Chiedete conferma al fornitore o all’installatore
   In questo caso specifico, DoFun ha dichiarato di aver risolto il problema dopo la segnalazione responsabile di Kaspersky. Se usate dispositivi basati su questa piattaforma, chiedete evidenza della correzione applicata e della versione aggiornata.

3. Separate le reti e limitate le connessioni non necessarie
   Una head unit non dovrebbe avere accesso libero a risorse aziendali. Evitate accoppiamenti o condivisioni non indispensabili, e riducete al minimo le integrazioni con hotspot o reti interne.

4. Controllate il traffico dati anomalo
   Un picco inspiegabile di traffico mobile su SIM associate ai veicoli può essere un indicatore utile. Anche senza strumenti avanzati, il monitoraggio dei consumi può far emergere comportamenti anomali.

5. Stabilite una policy per dispositivi connessi non tradizionali
   Auto, TV Android in sale riunioni, box multimediali, chioschi, pannelli e altri dispositivi smart vanno inclusi nelle regole minime di sicurezza, manutenzione e dismissione.

6. Prevedete backup e continuità operativa dove serve
   Il tema non riguarda direttamente il backup della head unit, ma rientra in una più ampia strategia di resilienza. Se la vostra azienda dipende da strumenti digitali distribuiti, vale la pena rafforzare protezione e ripristino dei sistemi critici con soluzioni di remote backup.

7. Affidate la gestione a un processo strutturato
   Molte PMI hanno ottime tecnologie ma poca governance. Un servizio di desktop IT management o un buon contratto di assistenza informatica aiuta a includere anche gli endpoint “atipici” nei controlli ordinari.

Una lezione più ampia: gli endpoint sono aumentati, ma i processi no

Questa vicenda conferma una tendenza chiara: tutto ciò che esegue software, si aggiorna da remoto e si collega a Internet deve essere trattato come un asset informatico. Non importa che si trovi su una scrivania, in sala riunioni o sul cruscotto di un’auto.

Negli ultimi anni molte aziende hanno esteso il perimetro digitale senza estendere con la stessa velocità inventario, monitoraggio, segmentazione e gestione del rischio. È qui che nascono i problemi più costosi: non tanto dai server centrali, oggi meglio protetti, quanto dai dispositivi laterali, dimenticati o affidati interamente al fornitore.

La buona notizia è che il caso analizzato non indica, allo stato delle informazioni pubbliche, un rischio diretto per la sicurezza di guida. Quella meno buona è che dimostra quanto sia diventato semplice monetizzare qualsiasi oggetto connesso trasformandolo in parte di un’infrastruttura criminale.

Domande frequenti

Questo malware può controllare l’auto o compromettere la guida?

Dalle informazioni pubblicate da Kaspersky e riprese da BleepingComputer, no: non risultano interferenze con i sistemi critici di guida. L’obiettivo osservato è economico, tramite ad fraud e proxy botnet.

Chi deve preoccuparsi davvero?

Soprattutto chi gestisce veicoli con head unit Android connesse a Internet, in particolare modelli aftermarket o piattaforme eterogenee. Anche poche auto aziendali possono rappresentare un rischio se non censite e monitorate.

Cosa conviene fare subito?

Verificare se i dispositivi in uso sono basati su DoFun, chiedere conferma degli aggiornamenti correttivi al fornitore, controllare i consumi dati anomali e includere questi sistemi nelle policy di sicurezza aziendale.