Pesquisadores da Kaspersky identificaram um malware que infecta centrais multimídia automotivas com sistema Android sem o conhecimento dos usuários. Segundo relatório publicado pela empresa, o programa se instala como um aplicativo de sistema sem interface e pode transformar os dispositivos em parte de uma botnet de proxies.

A investigação identificou uma cadeia de infecção que utiliza o mecanismo de atualização de firmware das centrais multimídia. De acordo com a Kaspersky, este é o primeiro caso documentado de malware com um processo de infecção desenvolvido especificamente para esse tipo de equipamento.

Infecção ocorre por atualizador de firmware

O ataque explora o aplicativo legítimo TWCore, responsável por coletar dados de uso e atualizar o software das centrais. O programa recebe mensagens de um servidor MQTT associado ao domínio cardoor.cn, que podem incluir instruções para instalar aplicativos adicionais.

O arquivo malicioso é baixado para o diretório de cache do TWCore e instalado no dispositivo. A Kaspersky informou ter comunicado o problema ao fornecedor, que posteriormente corrigiu as falhas de segurança.

Malware opera em três etapas

A cadeia de infecção identificada pelos pesquisadores possui três estágios:

• JarService: funciona como um dropper sem interface e descriptografa dados protegidos por uma operação XOR.
• Carregador malicioso: envia informações do dispositivo a um servidor de comando e controle e recebe um endereço para baixar o próximo componente.
• Módulo de controle: envia informações sobre o dispositivo a cada 90 minutos e recebe instruções remotas identificadas como productId.

A análise identificou nove comandos implementados, incluindo exibição de anúncios, fraude de cliques, envio de requisições HTTP, abertura de links em WebView com execução de JavaScript e download de código arbitrário.

Botnet utiliza centrais multimídia como proxies

Um dos componentes baixados pelo malware, identificado como “zhima”, funciona como proxy reverso. Sua presença indica que os dispositivos infectados podem ser utilizados como intermediários para o tráfego de rede, integrando uma botnet de proxies.

A Kaspersky atribui a atividade, com alto grau de confiança, ao grupo MoYu, associado à plataforma de malware BADBOX. A conclusão se baseia em características do código, incluindo uma referência interna ao nome mosdk-host-loader, e em sobreposições na infraestrutura de rede.

Os pesquisadores também encontraram semelhanças em APIs de autenticação relacionadas aos serviços uipoxy.com, pxyedge.com e proxyforu.com, associados ao mercado de proxies residenciais.

Ameaça amplia riscos para dispositivos conectados

Segundo a Kaspersky, grupos ligados à BADBOX continuam ativos, apesar das iniciativas para desarticular a botnet, e vêm expandindo suas atividades para novas plataformas.

O caso reforça que centrais multimídia automotivas também podem representar riscos de segurança digital, especialmente quando utilizam mecanismos de atualização vulneráveis. A recomendação é manter o sistema atualizado, utilizar firmware fornecido por fontes confiáveis e verificar a existência de correções disponibilizadas pelos fabricantes.

Fonte: https://www.cisoadvisor.com.br/malware-android-infecta-multimidia-de-veiculos/ acesso em 14/10/2026 às 10:15