In questo articolo Indice dei contenuti 3 sezioni
n malware capace di infilarsi nei sistemi di bordo delle automobili non era mai stato documentato prima, e invece nel giugno 2026 i ricercatori di Kaspersky ne hanno trovato uno che fa esattamente questo. Non smartphone, non tablet, non set top box: il bersaglio sono i sistemi di infotainment delle vetture, quelli che gestiscono navigatore, musica, telefonate e ormai buona parte dell’esperienza a bordo. È il primo caso mai registrato di una catena di infezione progettata su misura per l’elettronica veicolare, e questo cambia il quadro delle cose.
Il meccanismo è di quelli che fanno storcere il naso agli addetti ai lavori, perché sfrutta un canale considerato affidabile per definizione. Il malware, un downloader multistadio nascosto sotto più strati, viaggia attraverso i canali di aggiornamento legittimi delle unità di infotainment basate su Android e gestite da DoFun. In pratica il veicolo scarica quello che crede essere un normale update e si ritrova con un ospite indesiderato. Kaspersky ha segnalato l’abuso al fornitore, che ha già chiuso la falla, ma il precedente resta.
Come parte l’infezione e cosa riesce a fare
Tutto comincia da un’applicazione di sistema che sembra la cosa più innocua del mondo, chiamata TWCore, il cui compito ufficiale è raccogliere dati analitici e gestire gli aggiornamenti software dell’infotainment. Gli attaccanti hanno dirottato quel canale per distribuire un dropper battezzato JarService, dando il via a un’infezione articolata su più fasi, pensata proprio per scivolare sotto i radar dei controlli di sicurezza.
Il malware si installa come una qualsiasi applicazione utente, però senza interfaccia grafica. Nessuna icona, nessuna schermata, niente. Lavora in silenzio in background e né chi guida né i passeggeri hanno modo di accorgersene. Una volta attivo può eseguire fino a nove comandi diversi: mostrare pubblicità indesiderate, mettere in atto frodi pubblicitarie, scaricare altri moduli dannosi. E raccogliere informazioni sul dispositivo, dalla risoluzione dello schermo al modello, fino all’identificativo della rete Wi Fi e all’indirizzo MAC. Il risultato è un sistema di bordo che diventa a tutti gli effetti una spia.
Dietro l’attacco c’è il gruppo MoYu
Gli esperti di Kaspersky hanno ricondotto la campagna al gruppo criminale MoYu, nome già noto perché affiliato alla botnet BadBox. Si tratta di una rete enorme di dispositivi Android compromessi, tra set top box, smartphone e tablet, infettati direttamente in fabbrica e poi usati per frodi pubblicitarie, furto di dati e instradamento di traffico illegale. Un’infrastruttura criminale che si autoalimenta. Il punto interessante, e anche il più preoccupante, è la velocità con cui MoYu cambia terreno di caccia. Prima i dispositivi per la televisione, ora le automobili. Una capacità di adattamento che suggerisce un’organizzazione tutt’altro che improvvisata.
Sul tema è intervenuto Dmitry Kalinin, Security Researcher di Kaspersky: “Gli autori degli attacchi stanno conquistando attivamente nuove piattaforme. Questo malware è diventato la prima applicazione dannosa che prende di mira specificamente i sistemi di infotainment delle auto attraverso una catena di infezione espressamente studiata per questi sistemi veicolari. Questo costituisce un monito sul fatto che le moderne piattaforme automobilistiche necessitano urgentemente di una protezione robusta contro il malware”.
Cosa può fare chi guida un’auto connessa
La scoperta apre una frontiera nuova della cyber security, e riguarda chiunque abbia in garage un’auto degli ultimi anni. I sistemi di infotainment sono sempre più connessi, sempre più potenti, e proprio per questo diventano un bersaglio appetibile.
Le contromisure, per ora, passano dal buon senso. Attenzione agli aggiornamenti software, che vanno scaricati soltanto da fonti ufficiali. Dove possibile, installare soluzioni di sicurezza pensate per dispositivi Android. E tenere d’occhio il comportamento del sistema di bordo, segnalando eventuali anomalie al produttore o a un centro specializzato.
