Hackers exploram atualizador de central multimídia Android para instalar malware em veículos

Pesquisadores da Kaspersky identificaram uma nova família de malware criada especificamente para infectar centrais multimídia automotivas baseadas em Android que utilizam firmware desenvolvido pela DoFun. A ameaça se espalhava pelo próprio mecanismo de atualização integrado aos dispositivos.

Descoberta em junho de 2026, a campanha utiliza uma cadeia de múltiplos estágios para instalar malware capaz de executar fraude publicitária e transformar os dispositivos comprometidos em nós de uma botnet de proxy.

“O malware se espalhou por meio dos atualizadores integrados ao firmware de centrais automotivas baseadas em Android”, explicou Dmitry Kalinin, pesquisador da Kaspersky. Segundo ele, este é o primeiro caso documentado de malware encontrado em uma central veicular utilizando uma cadeia de infecção criada especificamente para esse tipo de equipamento.

A atividade foi atribuída com alta confiança ao MoYu Group, grupo anteriormente associado pela equipe Satori Threat Intelligence and Research, da HUMAN, à operação BADBOX, uma infraestrutura utilizada para fraude publicitária e criação de redes de proxies residenciais.

Em julho de 2025, o Google entrou com uma ação judicial contra 25 indivíduos ou entidades não identificadas na China, acusados de operar a botnet BADBOX e sua infraestrutura.

Centrais Android tornam-se novo alvo

As centrais multimídia automotivas funcionam como hubs que combinam recursos de entretenimento, navegação e, dependendo do veículo, algum nível de integração com outras funções do automóvel.

Esses dispositivos podem vir instalados de fábrica ou ser adicionados posteriormente em veículos mais antigos. Como muitas centrais utilizam Android, aplicativos originalmente desenvolvidos para smartphones e tablets podem ser executados nesses equipamentos — e o mesmo vale para códigos maliciosos compatíveis com a plataforma.

Outro fator relevante é que alguns modelos possuem slot para cartão SIM e conexão própria com a internet, utilizada para navegação, serviços online e atualizações de software.

De acordo com Kalinin, os métodos utilizados para distribuir malware nesse ecossistema estão se tornando cada vez mais variados, incluindo desde backdoors pré-instalados até aplicativos de IPTV comprometidos.

No caso analisado pela Kaspersky, porém, os responsáveis pela campanha utilizaram um método mais sofisticado: o abuso da funcionalidade legítima de atualização de um aplicativo de sistema.

A distribuição ocorreu através de mecanismos presentes no firmware de diferentes modelos de centrais Android equipadas com software da DoFun. Após a divulgação responsável, segundo a Kaspersky, o problema que permitia o abuso do mecanismo de distribuição foi corrigido.

Aplicativo legítimo foi usado para distribuir o malware

A cadeia de ataque começa em um aplicativo legítimo do sistema chamado TWCore, identificado pelo pacote com.tw.core.

O software é responsável por coletar informações analíticas e atualizar os programas instalados na central multimídia. Para isso, recebe instruções através de um broker MQTT hospedado em um subdomínio de cardoor[.]cn e baixa arquivos APK destinados à instalação.

Os arquivos recebidos são armazenados no diretório de cache externo do TWCore, dentro do caminho push/apk/.

Segundo a investigação, os operadores da campanha conseguiram utilizar esse canal legítimo de atualização para enviar malware diretamente aos dispositivos.

O primeiro componente malicioso identificado foi um dropper chamado JarService, desenvolvido para iniciar um loader e manter a cadeia de infecção em andamento enquanto tenta reduzir as chances de detecção.

Depois de executado, o loader envia informações sobre o dispositivo comprometido para um servidor controlado pelos hackers através de uma requisição HTTP POST.

O servidor responde fornecendo o endereço para o download da próxima etapa do ataque. Uma das URLs observadas apontava para 144.217.243[.]201/vr34der34/dex3.68.png.

O nome do payload contém uma referência à sua versão, como dex3.68. Explorando essa característica, os pesquisadores conseguiram recuperar sete variantes diferentes do malware, incluindo versões anteriores a partir da 3.57.

Malware funciona silenciosamente em segundo plano

A cadeia termina com a instalação do malware como um aplicativo Android comum. No entanto, o programa não possui interface gráfica visível para o usuário e permanece funcionando silenciosamente em segundo plano.

Por padrão, o malware envia uma requisição POST para o endpoint de comando e controle /cpc/api/task a cada 90 minutos, transmitindo informações sobre o dispositivo infectado e a versão atual de sua configuração.

Caso a configuração esteja desatualizada, o servidor C2 responde fornecendo novos endereços de infraestrutura e caminhos utilizados nas futuras requisições HTTP.

Se nenhuma atualização for necessária, o servidor envia identificadores numéricos de comandos, chamados pelos próprios operadores da campanha de productId.

O trojan associa cada identificador às instruções correspondentes e armazena essas informações como objetos JSON serializados usando a API SharedPreferences do Android.

Malware pode exibir anúncios e baixar novos códigos

A ameaça possui suporte a nove comandos diferentes, utilizados para exibir anúncios indesejados, realizar fraude publicitária, interagir com recursos do sistema e baixar módulos maliciosos adicionais.

O malware também coleta informações detalhadas sobre o dispositivo, incluindo resolução da tela, modelo da central, identificador da rede Wi-Fi conectada e endereço MAC.

Entre os comandos identificados estão return, utilizado para recuperar valores armazenados no SharedPreferences, e copy, capaz de modificar o conteúdo da área de transferência.

O comando http permite realizar requisições GET ou POST para recursos determinados pelos operadores, enquanto web abre endereços dentro de um WebView e permite executar código JavaScript arbitrário.

Também foram identificados os comandos loadlib, loadlib2 e loadlib3. Alguns deles ainda não estavam totalmente implementados nas amostras analisadas, mas o loadlib2 permite baixar e executar código arbitrário a partir de uma URL.

Outras funcionalidades incluem deeplink, para abrir URLs no navegador, e traceroute, utilizado para verificar a disponibilidade de recursos através de ICMP.

Centrais infectadas podem integrar botnet de proxy

Os pesquisadores observaram os operadores utilizando principalmente os comandos loadlib2 e http para baixar um módulo chamado zhima.

Esse componente funciona como um proxy reverso e havia sido documentado anteriormente pela equipe Deepfield Emergency Response Team, da Nokia.

O mesmo módulo foi identificado sendo distribuído seletivamente através de aplicativos de IPTV instalados em dispositivos Android TV de baixo custo.

Com o proxy instalado, a conexão de internet do dispositivo comprometido pode ser utilizada como ponto de saída para tráfego de terceiros, permitindo que os operadores utilizem os equipamentos infectados como parte de uma infraestrutura de proxies residenciais.

Esse tipo de rede pode ser explorado para mascarar a origem de diferentes atividades online, fazendo com que o tráfego pareça partir dos endereços IP legítimos dos próprios dispositivos infectados.

Segundo a Kaspersky, a operação está relacionada à infraestrutura BADBOX, que já havia sido associada à infecção de diversos tipos de dispositivos Android conectados à internet.

“Apesar dos esforços de especialistas em cibersegurança e autoridades para derrubar a botnet BADBOX, atores individuais associados a ela continuam suas atividades maliciosas, infectando dispositivos em todo o mundo”, afirmou Kalinin.

Para o pesquisador, o caso representa um marco por demonstrar uma cadeia de infecção criada especificamente para centrais multimídia automotivas.

A descoberta também amplia o conjunto de dispositivos Android utilizados por operações de fraude e botnets, mostrando que equipamentos instalados em veículos podem se tornar alvos quando possuem conectividade permanente, executam aplicativos comuns da plataforma e dependem de mecanismos remotos de atualização.