Un actualizador de firmware se convierte en cargador
El investigador de Kaspersky Dmitry Kalinin documentó la primera campaña de malware diseñada específicamente para sistemas de infotainment de automóviles, y su puerta de entrada es el canal de actualización en el que todo propietario confía por defecto. Un componente llamado JarService actúa como cargador: abusa del mecanismo de actualización de firmware integrado en los sistemas DoFun, fabricados por Shenzhen Driving Control Technology, para instalar una segunda carga en el dispositivo. Como la vía de entrega es el propio proceso de actualización del fabricante, la infección parece mantenimiento rutinario y no un ataque.
Una vez que JarService se afianza, instala un módulo de proxy y fraude publicitario llamado zhima. A partir de ahí, la unidad ya no es solo una pantalla de infotainment; es un pequeño ordenador siempre conectado que ejecuta código que su dueño nunca aprobó y que difícilmente podría detectar. La propia conexión a internet del coche, pensada para mapas, streaming y diagnóstico, se convierte en el recurso que se está vendiendo.
El coche sigue funcionando porque nada crítico para la seguridad cambia
El malware no llega a la dirección, el frenado ni ningún otro sistema crítico de seguridad, y esa contención es precisamente lo que hace tan difícil detectar la campaña. Se mueve por completo dentro de la capa de infotainment y conectividad, la parte del coche pensada para hablar con internet, ejecutar aplicaciones y aceptar actualizaciones. El conductor no ve ningún testigo encendido, ninguna respuesta de frenado distinta, ningún motivo de sospecha, porque nada cambia en la forma en que el coche circula.
Eso es exactamente lo que hace atractiva una red de proxies residenciales para quien la opera. Una unidad comprometida que sigue funcionando perfectamente como unidad de infotainment resulta valiosa mientras nadie la note, y un coche que nunca se comporta de forma insegura no le da a su dueño ningún motivo para mirar, en sentido literal o figurado, lo que su conexión de red hace de fondo.
Los propietarios apenas lo notan, las flotas y los concesionarios cargan con el riesgo
Los propietarios particulares son la parte menos expuesta de esta historia, porque un solo coche comprometido es un nodo perdido en una red de tamaño desconocido, y una pantalla de infotainment algo más lenta es fácil de confundir con desgaste normal. Las flotas y los concesionarios cargan con la exposición real, porque la misma unidad DoFun, con el mismo firmware, está detrás del salpicadero de cada vehículo que reciben de ese proveedor. Una actualización comprometida convierte a cada coche construido sobre esa plataforma en candidato para la misma infección, no solo a la unidad que resultó inspeccionada por casualidad.
Un concesionario que revisó el software de la unidad una sola vez, en el momento de la entrega, no tiene visibilidad de lo que cambió en la décima, la vigésima o la centésima actualización por aire desde entonces. Un operador de flota con cientos de vehículos hereda el mismo punto ciego a mayor escala: la auditoría que parecía suficiente el primer día no dice nada sobre el firmware que corre hoy.
BADBOX ya tenía historial antes de tener ruedas
BADBOX no es una red nueva inventada para esta campaña; el equipo de investigación Satori de HUMAN Security ya había expuesto la misma red de proxies residenciales en otras clases de dispositivos, incluidas las cajas de televisión, mucho antes de que los sistemas de infotainment de automóviles se convirtieran en uno de sus objetivos. El patrón es constante entre clases de dispositivos: el hardware comprometido revende en silencio su conexión a internet como dirección IP residencial, precisamente el tipo por el que pagan las operaciones de fraude publicitario y otros compradores de proxies, porque parece tráfico de consumidor normal y no un servidor de centro de datos.
Lo que cambió con esta campaña, documentada en torno al 21 y 22 de agosto de 2026, es la clase de dispositivo, no el modelo de negocio. Una red construida con cajas de televisión y otra con unidades de infotainment de coches venden lo mismo: ancho de banda y reputación de IP robados a dispositivos cuyos dueños siguen creyendo que trabajan solo para ellos.
La solución está en auditar la cadena de actualizaciones, no el concesionario
La cadena de actualizaciones del proveedor, no el coche aparcado en el concesionario, es donde realmente vive esta campaña, porque JarService entró por el propio mecanismo de actualización de DoFun y no por ninguna acción del conductor o del concesionario. Auditar el software de la unidad una sola vez, en el punto de venta, revisa una fotografía que queda desactualizada en cuanto llega la primera actualización por aire. Quien compromete el canal de actualización del proveedor obtiene una posición persistente en cada vehículo posterior, en silencio, y volver a revisar el dispositivo tras la entrega no cierra ese canal.
La lección va más allá de esta campaña concreta: cualquier flota o concesionario que trate el software del vehículo como una inspección de seguridad de una sola vez está confiando en una cadena de suministro que nunca ha verificado de verdad. La solución no es un mejor escaneo del coche en el concesionario; es auditar la propia cadena de actualizaciones, en cada envío, mientras el vehículo siga conectado.
Leer a continuación: El éxito de Apple hizo estallar su plan de suministro | Una app de Pac-Man metió extraños en su red
