El 21 de agosto de 2026, «Kaspersky Lab» publicó un análisis del primer malware documentado para dispositivos de audio de automóviles con Android. La radio infectada no roba música ni rastrea rutas; se convierte en un nodo de un grupo de proxies residenciales y en un clicker para fraude publicitario. Lo principal en esta historia no es el coche en sí, sino el método de entrega: los atacantes no convencieron al fabricante para que integrara un SDK, sino que interceptaron su propio mecanismo de actualización de firmware.
Qué encontraron exactamente
La campaña fue descubierta en junio de 2026, y el informe público se publicó el 21 de agosto. El objetivo son los dispositivos de audio con firmware de la empresa china DoFun (Shenzhen Driving Control Technology Co., Ltd), que son radios de repuesto que se instalan en lugar de la radio original. Kaspersky vincula con alta confianza la operación al grupo MoYu, que anteriormente había estado involucrado en la historia del botnet BADBOX, una plataforma sobre puertas traseras preinstaladas en firmware que HUMAN Security mencionó en 2023.
La cadena de infección se ve así:
- Punto de entrada — aplicación de sistema legítima TWCore, que en los dispositivos DoFun se encarga de la analítica y las actualizaciones. Recibe comandos a través de un broker MQTT en el dominio cardoor[.]cn, y en el protocolo hay una bandera installNotExists — permiso para instalar una aplicación que aún no está en el dispositivo.
- Primera etapa — dropper JarService sin interfaz. La carga útil dentro está cifrada con XOR con una clave de desplazamiento lineal de un solo byte.
- Segunda etapa — cargador: envía información del dispositivo al servidor de control mediante una solicitud POST y recibe enlaces para la siguiente etapa.
- Tercera etapa — clicker y cargador de reverse proxy: se conecta al C2 cada 90 minutos, soporta nueve tipos de comandos (entre ellos http, web, loadlib2, deeplink) y descarga el módulo zhima.
El módulo zhima es la esencia de la operación: abre una conexión inversa a los servidores de control (en el informe aparecen direcciones como 107.151.248[.]132 y 128.14.210[.]58, puertos 1337, 7777, 8888, 15000) y convierte el dispositivo en un nodo proxy. Los dispositivos de audio son casi perfectos para este papel: muchos tienen una ranura para tarjeta SIM y acceso constante a Internet, necesario para la navegación y esas actualizaciones.
Por qué esto es otro nivel y no «solo otro botnet»
Hasta ahora, la historia masiva sobre el origen de las IP residenciales «grises» se veía así: el fabricante de un dispositivo barato o el desarrollador de una aplicación gratuita integra intencionadamente un SDK de monetización y recibe dinero por ello, mientras que el usuario acepta un EULA no leído. Google, en su informe sobre la eliminación de la red NetNut, formula dos canales por los cuales la tecnología doméstica entra en redes proxy: el malware se preinstala antes de la compra o el usuario descarga la aplicación con un código proxy oculto.
El caso de DoFun no encaja en ninguno de ellos. Aquí el vendedor no está involucrado y no está al tanto: le han robado un canal de entrega de actualizaciones de confianza. Kaspersky notificó a la empresa, y esta, según los investigadores, solucionó el problema. Pero la conclusión práctica para el mercado es desagradable: la verificación del origen del grupo bajo el principio de «muestren los contratos con los socios y el texto del consentimiento» deja de ser suficiente. El nodo se puede obtener sin la participación de quien fabricó el dispositivo.
Un segundo detalle importante — el envoltorio comercial. Los investigadores encontraron un panel de administración en el dominio admin.uipoxy[.]com con registro mediante códigos de invitación. Es decir, no es «un botnet por el botnet», sino una vitrina operativa donde el tráfico a través de dispositivos infectados se vende a alguien. Paralelamente, especialistas de Nokia Deepfield descubrieron independientemente el mismo módulo zhima en decodificadores de TV. En otras palabras, un grupo se está formando a partir de diferentes clases de tecnología: decodificadores y radios.
La escala de operaciones adyacentes da una idea de por qué se hace esto. El 2 de julio de 2026, Google, junto con el FBI, IRS-CI y Lumen, desconectaron la red NetNut: según Google, más de 2 millones de dispositivos capturados. Solo en una semana de junio, la telemetría GTIG registró 316 clústeres de actividad separados que salían a través de los supuestos nodos de NetNut, desde cibercriminalidad hasta grupos dedicados al espionaje. Hemos analizado la mecánica de este mercado por separado, en un artículo sobre la economía del grupo residencial.
Por qué el mercado lo tolera
La respuesta es simple: el precio. Según un estudio de Proxyway para 2026, solo entre principios de 2025 y marzo de 2026, aparecieron al menos 56 nuevos proveedores de proxies en el mercado, y la mayoría de los nuevos servicios residenciales son white label sobre la infraestructura de otros; una parte notable se promociona no a través de búsqueda, sino a través de foros como BlackHatWorld. En el segmento inferior, un gigabyte de tráfico residencial cuesta 0,30 dólares o menos; tal precio es físicamente inalcanzable si el grupo se ha formado a través de pagos a socios y contratos con operadores. Precisamente estas ofertas presionan el precio de todo el mercado hacia abajo.
El nivel superior, por otro lado, está creciendo: Bright Data reportó un crecimiento del 50% anual y unos ingresos anuales de alrededor de 300 millones de dólares, NetNut mostró un +28% hasta su liquidación en julio, y los otros participantes del mercado tienen un rango de crecimiento del 30% hasta el doble año tras año. Es decir, la demanda de datos y acceso está creciendo más rápido que la oferta legal de nodos, y esta brecha se cierra con historias como zhima en las radios.
Qué significa esto para quienes compran proxies
La tentación de desestimar es comprensible: «no soy el propietario de una radio china, esto no me concierne». Pero sí concierne — desde el otro lado del mostrador. Si su proveedor compra tráfico en el nivel inferior del mercado, puede estar trabajando a través de nodos exactamente así. Las consecuencias son bastante cotidianas:
- Vecindario por IP. A través del mismo nodo, en la misma hora, puede haber fraude de clics, intentos de adivinación de contraseñas o escaneos. Las plataformas antifraude no ven a usted, sino la reputación total de la dirección — y descartan la sesión antes de que usted pueda hacer algo.
- Listas de bloqueo. Después de la publicación de informes y operaciones de eliminación, los rangos y direcciones específicas se propagan rápidamente por las bases de datos de reputación. Una IP «limpia» comprada ayer puede estar hoy en las listas.
- Inestabilidad del nodo. La radio no es un router doméstico. El coche se mueve, el dispositivo cambia entre celdas, cambian ASN y geolocalización; por la noche, el automóvil se queda con el encendido apagado, y el nodo simplemente desaparece en medio de su sesión. Para tareas largas como la autorización o el trabajo con el carrito, esto garantiza cortes.
- Riesgo legal y reputacional. El tráfico que pasa por un dispositivo claramente comprometido es una mala posición en cualquier disputa, especialmente si su contratista prometió «consentimientos éticos de los usuarios».
Cómo verificar el grupo ahora
Las preguntas al proveedor deben reformularse. Antes bastaba con «de dónde proviene la IP»; ahora es más importante cómo se organiza el control durante la vida del nodo:
- Cuál es el modelo de obtención del nodo. Red de socios propia con pagos y opt-in claro, alquiler a un operador, contrato ISP — o compra «al por mayor» a un upstream no nombrado. Negarse a nombrar el nivel de upstream es, en sí mismo, una respuesta.
- ¿Hay monitoreo continuo de la reputación? No basta con verificar el nodo una vez: una dirección limpia al principio puede deteriorarse en semanas. Pregunte con qué frecuencia y a través de qué fuentes se reevaluó el grupo y qué sucede con una dirección que entra en la lista de bloqueo.
- Qué hacen durante una operación de eliminación. Después de la historia de julio con NetNut, el mercado se reconfiguró. Un operador honesto tiene una respuesta clara sobre cómo reemplaza los segmentos que se pierden, y no silencio y calidad deteriorada.
- Verifique usted mismo. Antes de una tarea seria, pase las direcciones proporcionadas por las bases de datos de reputación; cómo hacerlo se detalla en la guía sobre la verificación de IP en listas de bloqueo. Además, una prueba de comportamiento simple: si la dirección «residencial» cambia de ASN y ciudad en media hora, no es un apartamento.
Una guía práctica: para tareas donde la previsibilidad de la sesión es importante, es más sensato optar por proxies residenciales con un origen claro del grupo, y donde se necesita específicamente un operador móvil — proxies móviles con un conjunto claro de redes, y no una tarjeta SIM aleatoria en un coche ajeno.
Si tiene una radio o decodificador Android
Una parte separada de la audiencia son los propietarios de esos dispositivos. No hay un «antivirus universal para radios», pero se pueden hacer al menos las siguientes cosas:
- Verificar si el firmware está actualizado: DoFun, según Kaspersky, cerró la vulnerabilidad, por lo que la actualización tiene sentido.
- No proporcionar al dispositivo acceso constante a Internet si no lo necesita: sin red, el nodo es inútil. A muchas radios de repuesto solo les hace falta conexión a la red de manera episódica.
- Monitorear el tráfico en el router o a través de la tarjeta SIM: un flujo saliente constante de un dispositivo que «solo reproduce música» es una señal directa. Lo mismo se aplica a los decodificadores de TV con firmware no oficial.
- No instalar compilaciones no oficiales y clientes de tiendas de terceros: en la historia de NetNut, precisamente este canal proporcionó una parte notable de los nodos.
Conclusión
La historia con DoFun es interesante no por la cantidad de máquinas infectadas — nadie la ha nombrado hasta ahora, y probablemente no sea grande. Lo interesante es el precedente: para formar un grupo residencial, ya no es necesario negociar con el fabricante del dispositivo. Basta con capturar su actualizador. Esto significa que el nivel de precios inferior del mercado de proxies seguirá llenándose de nodos de los que ni el propietario del dispositivo ni su vendedor tienen conocimiento, con todas las consecuencias para quienes trabajan a través de ellos. La diferencia entre un gigabyte barato y uno predecible radica precisamente en esto.
```