Il 21 agosto 2026, "Kaspersky Lab" ha pubblicato un'analisi del primo malware documentato per le unità principali automobilistiche basate su Android. La radio infetta non ruba musica e non monitora il percorso — si trasforma in un nodo di un pool di proxy residenziali e in un clicker per frodi pubblicitarie. La cosa principale in questa storia non è l'auto stessa, ma il metodo di consegna: i criminali non hanno persuaso il produttore a integrare un SDK, ma hanno intercettato il suo stesso meccanismo di aggiornamento del firmware.
Cosa hanno trovato esattamente
La campagna è stata scoperta a giugno 2026, il rapporto pubblico è stato rilasciato il 21 agosto. L'obiettivo sono le unità principali con firmware della compagnia cinese DoFun (Shenzhen Driving Control Technology Co., Ltd), queste sono radio aftermarket che vengono installate al posto della radio di serie. Kaspersky collega con alta certezza l'operazione al gruppo MoYu, già noto per la storia del botnet BADBOX — una piattaforma di cui si parlava di backdoor preinstallate nei firmware già nel 2023, secondo HUMAN Security.
La catena di infezione appare così:
- Punto di ingresso — l'applicazione di sistema legittima TWCore, che sui dispositivi DoFun si occupa di analisi e aggiornamenti. Riceve comandi tramite un broker MQTT sul dominio cardoor[.]cn, e nel protocollo c'è un flag installNotExists — il permesso di installare un'applicazione che non è ancora presente sul dispositivo.
- Prima fase — dropper JarService senza interfaccia. Il payload all'interno è crittografato con XOR usando una chiave a byte singolo che si sposta linearmente.
- Seconda fase — loader: invia una richiesta POST con informazioni sul dispositivo al server di comando e riceve link per la fase successiva.
- Terza fase — clicker e loader di reverse proxy: si connette al C2 ogni 90 minuti, supporta nove tipi di comandi (tra cui http, web, loadlib2, deeplink) e scarica il modulo zhima.
Il modulo zhima è il cuore dell'operazione: apre una connessione inversa ai server di comando (nel rapporto sono citati indirizzi come 107.151.248[.]132 e 128.14.210[.]58, porte 1337, 7777, 8888, 15000) e trasforma il dispositivo in un nodo proxy. Le unità principali si adattano quasi perfettamente a questo ruolo: molte di esse hanno uno slot per SIM e un accesso costante a Internet — necessario per la navigazione e per quegli aggiornamenti.
Perché questo è un altro livello, e non "un altro botnet"
Fino ad ora, la storia massiccia sull'origine degli IP residenziali "grigi" appariva così: il produttore di un dispositivo economico o lo sviluppatore di un'applicazione gratuita integra consapevolmente un SDK di monetizzazione e guadagna denaro, mentre l'utente accetta un EULA non letto. Google, nel rapporto sulla chiusura della rete NetNut, formula due canali di ingresso per i dispositivi domestici nelle reti proxy: il malware è preinstallato prima dell'acquisto oppure l'utente ha scaricato l'applicazione con codice proxy nascosto.
Il caso DoFun non rientra in nessuno di questi. Qui il fornitore non è coinvolto e non è a conoscenza: gli è stata rubata una via di consegna degli aggiornamenti fidata. Kaspersky ha avvisato l'azienda, e questa, secondo i ricercatori, ha risolto il problema. Ma la conclusione pratica per il mercato è sgradevole: il controllo dell'origine del pool secondo il principio "mostrate i contratti con i partner e il testo del consenso" smette di essere sufficiente. Un nodo può essere ottenuto senza il coinvolgimento di chi ha prodotto il dispositivo.
Un secondo importante dettaglio — la cornice commerciale. I ricercatori hanno trovato un pannello di amministrazione sul dominio admin.uipoxy[.]com con registrazione tramite codici invito. Quindi non si tratta di "botnet per il gusto di avere una botnet", ma di una vetrina funzionante, dove il traffico attraverso dispositivi infetti viene venduto a qualcuno. Parallelamente, gli specialisti di Nokia Deepfield hanno scoperto indipendentemente lo stesso modulo zhima nelle TV box. In altre parole, un pool viene raccolto immediatamente da diverse categorie di dispositivi — box e radio.
La scala delle operazioni vicine fornisce un'indicazione sul perché questo venga fatto. Il 2 luglio 2026, Google insieme all'FBI, all'IRS-CI e a Lumen ha disattivato la rete NetNut: secondo Google, più di 2 milioni di dispositivi catturati. Solo in una settimana di giugno, la telemetria GTIG ha registrato 316 cluster di attività distinti, che uscivano attraverso presunti nodi NetNut, — dal cybercrimine a gruppi impegnati in spionaggio. Abbiamo analizzato la meccanica di questo mercato separatamente, in un articolo sull'economia del pool residenziale.
Perché il mercato lo tollera
La risposta è semplice — il prezzo. Secondo uno studio di Proxyway per il 2026, solo tra l'inizio del 2025 e marzo 2026, sono emersi almeno 56 nuovi fornitori di proxy sul mercato, e la maggior parte dei nuovi servizi residenziali è un white label sopra un'infrastruttura altrui; una parte significativa viene promossa non tramite ricerca, ma attraverso forum come BlackHatWorld. Nel segmento inferiore, un gigabyte di traffico residenziale costa 0,30 dollari o meno — un prezzo fisicamente irraggiungibile se il pool è stato raccolto tramite pagamenti ai partner e contratti con gli operatori. Proprio queste offerte stanno schiacciando il prezzo di tutto il mercato verso il basso.
Il livello superiore, nel frattempo, cresce: Bright Data ha riportato una crescita annuale del 50% e un fatturato annuale di circa 300 milioni di dollari, NetNut prima della chiusura di luglio mostrava un +28%, mentre gli altri partecipanti al mercato oscillano tra il 30% e il raddoppio anno su anno. In altre parole, la domanda di dati e accesso cresce più velocemente dell'offerta legale di nodi, — e il divario viene colmato da storie come quella di zhima nelle radio.
Cosa significa per chi acquista proxy
La tentazione di ignorare è comprensibile: "non sono il proprietario di una radio cinese, non mi riguarda". Riguarda — ma dall'altra parte del banco. Se il tuo fornitore acquista traffico nel livello inferiore del mercato, potresti lavorare attraverso esattamente quei nodi. Le conseguenze sono piuttosto quotidiane:
- Vicino di IP. Attraverso lo stesso nodo nello stesso momento può passare click fraud, tentativi di password o scansioni. Le piattaforme anti-frode non vedono te, ma la reputazione complessiva dell'indirizzo — e ti espellono dalla sessione prima che tu possa fare qualcosa.
- Blacklist. Dopo la pubblicazione di rapporti e operazioni di takedown, gli intervalli e gli indirizzi specifici si diffondono rapidamente nelle basi di dati reputazionali. Un IP "pulito" acquistato ieri oggi si ritrova nelle liste.
- Instabilità del nodo. La radio non è un router domestico. L'auto si muove, il dispositivo passa tra celle, cambiano ASN e geo; di notte l'auto rimane ferma con l'accensione spenta, e il nodo scompare semplicemente nel mezzo della tua sessione. Per compiti lunghi come l'autenticazione o il lavoro con il carrello, questo porta a interruzioni garantite.
- Rischio legale e reputazionale. Il traffico che passa attraverso un dispositivo chiaramente compromesso è una posizione sfavorevole in qualsiasi contenzioso, specialmente se il tuo fornitore ha promesso "consensi etici degli utenti".
Come controllare ora il pool
Le domande al fornitore devono essere riformulate. Prima bastava "da dove viene l'IP" — ora è più importante come è strutturato il controllo durante la vita del nodo:
- Qual è il modello di ottenimento del nodo. Una rete partner propria con pagamenti e un chiaro opt-in, affitto da un operatore, contratto ISP — oppure acquisto "all'ingrosso" da un upstream non nominato. Il rifiuto di nominare il livello dell'upstream è di per sé una risposta.
- Esiste un monitoraggio continuo della reputazione. È poco controllare un nodo una sola volta: un indirizzo pulito all'ingresso può deteriorarsi nel giro di settimane. Chiedi con quale frequenza e su quali fonti il pool viene rivalutato e cosa succede con un indirizzo finito in blacklist.
- Cosa fanno durante un'operazione di takedown. Dopo la storia di luglio con NetNut, il mercato è stato rimescolato. Un operatore onesto ha una risposta chiara su come sostituisce i segmenti che escono, e non silenzio e qualità in calo.
- Controlla tu stesso. Prima di un compito serio, verifica gli indirizzi forniti nelle basi di dati reputazionali — come farlo è spiegato nella guida sulla verifica degli IP nelle blacklist. Inoltre, un semplice test comportamentale: se un indirizzo "residenziale" cambia ASN e città in mezz'ora, non è un appartamento.
Un orientamento pratico: per compiti in cui è importante la prevedibilità della sessione, è più sensato prendere proxy residenziali con un'origine trasparente del pool, e dove è necessario un operatore mobile — proxy mobili con un insieme chiaro di reti, e non una SIM casuale in un'auto altrui.
Se hai una radio Android o una TV box
Una parte separata del pubblico è costituita dai proprietari di quei dispositivi. Non esiste un "antivirus universale per radio", ma ci sono alcune cose minime che puoi fare:
- Controlla se il firmware è aggiornato: DoFun, secondo Kaspersky, ha chiuso la vulnerabilità, quindi l'aggiornamento ha senso.
- Non fornire al dispositivo un accesso costante a Internet, se non necessario: senza rete, il nodo è inutile. Molte radio aftermarket hanno bisogno di connessione solo occasionalmente.
- Monitora il traffico sul router o tramite la SIM: un flusso costante in uscita da un dispositivo che "riproduce solo musica" è un chiaro segnale. Lo stesso vale per le TV box con firmware non ufficiali.
- Non installare versioni non ufficiali e client da negozi di terze parti: nella storia di NetNut, proprio questo canale forniva una parte significativa dei nodi.
Conclusione
La storia con DoFun è interessante non per il numero di macchine infette — nessuno lo ha ancora rivelato, e probabilmente non è elevato. È interessante il precedente: per raccogliere un pool residenziale, non è più necessario accordarsi con il produttore del dispositivo. È sufficiente catturare il suo aggiornamento. Questo significa che il livello di prezzo inferiore del mercato dei proxy continuerà a riempirsi di nodi di cui non sono a conoscenza né il proprietario del dispositivo né il suo fornitore, — con tutte le conseguenze per coloro che lavorano attraverso di essi. La differenza tra un gigabyte economico e uno prevedibile è proprio in questo.
```