Infectaron pantallas de coche por su propio canal de actualización.

Qué ha pasado, en una frase

Kaspersky ha documentado en junio de 2026, a través del investigador Dmitry Kalinin, el primer caso conocido de malware con una cadena de infección diseñada específicamente para pantallas de coche. Y no entró por una app pirata ni por un USB: entró por el mecanismo de actualización oficial del propio aparato.

La cadena de infección, paso a paso

Merece la pena verla desglosada, porque cada eslabón es una decisión de diseño del atacante:

• 1. El punto de entrada es una app de sistema legítima. TWCore (com.tw.core) viene de fábrica en pantallas Android construidas sobre la plataforma DoFun y se encarga de la analítica y de las actualizaciones. No es malware: es la pieza que se supone que mantiene el aparato al día.
• 2. El canal de reparto es MQTT. Las órdenes de actualización viajaban por un servidor MQTT alojado en cardoor[.]cn. MQTT es un protocolo pensado para dispositivos conectados, ligero y silencioso, y por eso se usa en este tipo de aparatos.
• 3. La carga llega como APK. Por ese canal se servía un paquete con un componente llamado JarService.
• 4. Se instala como una app normal, pero sin cara. Sin interfaz, sin icono, sin pedir permisos con una excusa y sin intentar hacerse pasar por nada.

Ese cuarto punto es el más revelador. Casi todo el malware de Android se disfraza: imita una linterna, un reproductor, una app del banco. Este no se molestó. Y precisamente por eso los investigadores supieron que nadie lo había instalado a mano: si no intenta engañar a un usuario, es que no dependía de ninguno.

Lo que un canal de actualización debería hacer, y lo que hizo este

• Debería: traer software firmado por el fabricante. Hizo: entregar un APK ajeno con la misma confianza.
• Debería: ser verificable por quien lo recibe. Hizo: instalar sin que el usuario viera nada.
• Debería: reducir el riesgo del aparato. Hizo: ser la única vía de entrada que hacía falta.

Esto es lo que convierte el caso en algo más que una anécdota: el canal de actualización es un canal de confianza, y quien lo controla no necesita engañar a nadie.

Qué hace una vez dentro

Se queda en segundo plano y llama a su servidor de control cada 90 minutos. Admite nueve órdenes distintas que, según la investigación, se agrupan en cuatro capacidades:

• Publicidad no deseada. Anuncios donde antes no los había.
• Fraude publicitario. Clics y visualizaciones simulados que alguien cobra.
• Descarga de módulos adicionales. La parte que conviene no pasar por alto.
• Reconocimiento del dispositivo. Saber qué es y qué hay alrededor.

Lo de «descargar módulos adicionales» significa que la funcionalidad del día uno no es el límite. Lo instalado es una puerta; lo que entre por ella se decide después y puede cambiar sin que el aparato vuelva a infectarse.

Otras publicaciones que han cubierto el caso describen además funciones de proxy inverso, y señalan que el equipo Deepfield de Nokia encontró la misma familia en descodificadores de televisión. Eso no está en la fuente principal, así que va aquí como lo que es: reportado por otros.

Por qué alguien quiere tu pantalla como salida a internet

Esta es la parte que casi nadie explica, y la que de verdad afecta a quien tiene el aparato.

Cuando un dispositivo tuyo funciona como salida de otra persona, el tráfico de esa persona sale con tu dirección IP. Quien lo mire desde fuera —una web, un banco, una plataforma— ve tu conexión, no la suya.

Y aquí está el negocio, que es más simple de lo que parece:

• Una IP de centro de datos levanta sospechas al instante. Los sistemas antifraude las conocen y las bloquean.
• Una IP doméstica, o la de un coche aparcado en una calle cualquiera, parece una persona normal.
• Por eso la segunda se alquila y la primera no vale nada.

El valor no está en tu pantalla ni en tus datos: está en que tu conexión resulta creíble. Tú eres la coartada, no el objetivo.

A quién afecta, y qué no dice la fuente

La investigación apunta a pantallas Android construidas sobre la plataforma DoFun, la base de muchos equipos de posventa: los que se compran por separado y se montan en el hueco de la radio, casi siempre muy por debajo del precio del fabricante del coche.

Y conviene decir con claridad lo que el informe no publica, porque es justo lo que a cualquiera le gustaría saber:

• No hay marcas ni modelos concretos.
• No hay número de dispositivos infectados.
• No hay lista de países afectados.

Sobre la autoría: Kaspersky la asigna con confianza alta al grupo MoYu, ya relacionado antes con el ecosistema BADBOX. «Confianza alta» es la valoración de un investigador con indicios sólidos, no una sentencia, y los indicios de atribución son falsificables.

Señales de alarma

Ninguna es concluyente por sí sola, y esa es parte del problema. Pero si se juntan varias, merece la pena preguntar:

• Publicidad donde antes no la había. Es el síntoma más visible de los que describe el informe.
• Consumo de datos que no cuadra, si la pantalla lleva SIM propia.
• Lentitud sin causa aparente, sobre todo al arrancar.
• Aplicaciones que no reconoces y que no se dejan desinstalar.

Qué puedes hacer

• Pregunta por firmware actualizado al fabricante de la pantalla o al taller que la montó. Según la fuente, el problema se corrigió tras la divulgación responsable.
• No le des cuentas que no necesita. Si no va a usar tu correo, tu cuenta de Google o tu nube, no los metas ahí.
• Vigila la factura de datos si tiene SIM. Un aparato que hace de proxy consume, y eso sí se ve.
• Si vas a comprar una pantalla, pregunta quién publica las actualizaciones y con qué frecuencia. Es una pregunta rara en una tienda, y precisamente por eso distingue a un fabricante serio.

Lo que deja esta historia

Dos cosas, y la segunda es la incómoda.

La primera: el canal de actualización es un canal de confianza. Es la lección de todos los ataques a la cadena de suministro, aplicada esta vez a un sitio donde nadie mira.

La segunda: hay una categoría entera de aparatos —pantallas de coche, descodificadores, televisores, marcos digitales, cámaras baratas— que se venden por poco dinero, se conectan a tu red, se actualizan solos desde servidores que no conoces y no los audita nadie. No llevan antivirus, no avisan de nada y tú no los revisas nunca. Este caso no es una rareza del sector: es el primero que alguien se ha molestado en documentar con detalle.

Si quieres entender por qué una IP «doméstica» tiene precio, el fondo está en cómo funcionan las redes; y qué rastros deja una intrusión, en indicadores de compromiso.

Fuente: investigación de Kaspersky →

Preguntas frecuentes