Pesquisadores de segurança descobriram uma família de malware inédita que infecta diretamente a unidade multimídia (head unit) de veículos — o módulo central que integra entretenimento, navegação e, em alguns casos, controles parciais do carro — explorando os próprios mecanismos de atualização do firmware Android desenvolvido pela fabricante chinesa DoFun. Trata-se do primeiro caso documentado de malware com uma cadeia de infecção especificamente desenhada para plataformas automotivas embarcadas, um marco preocupante que sinaliza que a superfície de ataque da indústria automobilística digitalizada está se expandindo para além dos tradicionais sistemas de infotainment.
A descoberta foi realizada pela equipe do Kaspersky Global Research and Analysis Team (GReAT) em junho de 2026 e tornada pública em 21 de agosto de 2026. Os pesquisadores, liderados pelo especialista Dmitry Kalinin, rastrearam uma campanha que utiliza a própria funcionalidade de atualização de software como vetor de invasão, contornando todas as medidas convencionais de segurança que um usuário ou o sistema Android esperaria encontrar.
O vetor de infecção é particularmente sofisticado porque explora um aplicativo legítimo do sistema — chamado TWCore (com.tw.core) — que já possui privilégios de instalação silenciosa. Esse aplicativo é responsável por coletar métricas de análise e receber atualizações de firmware em formato APK, utilizando um broker de mensagens MQTT hospedado no subdomínio cardoor.cn. Em condições normais, o TWCore baixa um APK, verifica se a aplicação já está instalada e, em caso negativo, solicita ao usuário a aprovação antes da instalação. O malware alterou esse comportamento modificando um parâmetro chamado installNotExists: quando definido como falso, o atualizador verifica a presença do app; quando verdadeiro (o que o malware faz), ele instala o APK arbitrário sem qualquer notificação ou consentimento do usuário.
O malware em si começa com um dropper chamado JarService, que é instalado silenciosamente pela própria unidade multimídia. Uma vez instalado, JarService executa um loader que deploy um módulo malicioso sem interface gráfica, operando inteiramente em segundo plano. O componente final faz requisições POST periódicas — a cada 90 minutos por padrão — para um endpoint de comando e controle (C2) localizado em /cpc/api/task, enviando informações detalhadas do dispositivo infectado, incluindo resolução de display, modelo do dispositivo, identificador da rede Wi-Fi conectada e endereço MAC.
Uma vez comprometida, a unidade multimídia suporta nove comandos diferentes enviados pelo C2. Esses comandos permitem exibir anúncios não solicitados na tela do veículo, executar operações de fraude publicitária automatizada e baixar módulos maliciosos adicionais. Um dos módulos mais significativos é o "Zhima", um módulo de proxy reverso anteriormente documentado pela Nokia Deepfield Emergency Response Team como sendo distribuído através de aplicações de IPTV instaladas em caixas Android TV baratas. A ligação entre as duas campanhas sugere que o mesmo grupo de ameaças opera em múltiplos vetores embarcados.
A Kaspersky atribui a campanha ao MoYu Group, um grupo de ameaças já associado à notória botnet BadBox. O BadBox é uma infraestrutura de botnet que tem como alvo dispositivos embarcados e sistemas de informação veiculares, e a transição para head units de automóveis representa uma evolução natural da superfície de ataque desse grupo. A motivação primária da campanha é financeira — fraude publicitária e recrutamento de botnet de proxy para ocultação de tráfego malicioso — e não a compromissão direta de sistemas críticos do veículo, como freios ou direção. Contudo, a existência dessa cadeia de infecção em hardware automotivo levanta questões sérias que vão além da privacidade do proprietário.
Engenheiros que trabalham com plataformas automotivas baseadas em Android devem considerar qualquer atualizador OTA que consuma instruções remotas como um alvo de alto valor, e não como infraestrutura passiva. O padrão "updater como dropper" é portátil para qualquer fornecedor cujo cliente de atualização confie em instruções push remotas, o que torna esta descoberta um template de ataque genérico, não apenas um incidente isolado.
A fabricante DoFun foi notificada da vulnerabilidade e, de acordo com os pesquisadores, já corrigiu os problemas de segurança. No entanto, a questão fundamental permanece: quanta superfície de atualização remota deve ser permitida em dispositivos embarcados que possuem acesso físico à rede do veículo? A resposta definirá o futuro da segurança em automóveis conectados.
Fontes: The Hacker News, Kaspersky, Else If
✓ Fontes independentes cruzadas e verificadas antes da publicação
