As centrais multimídia baseadas em Android instaladas em veículos conectados passaram a ser alvo de uma campanha de malware desenvolvida especificamente para esse tipo de equipamento. Pesquisadores da Kaspersky identificaram uma operação que utiliza mecanismos legítimos de atualização de software para distribuir códigos maliciosos diretamente às unidades principais dos veículos.
Segundo o TechRadar, a descoberta chama atenção porque o ataque não depende necessariamente da instalação manual de um aplicativo suspeito pelo usuário. O malware chega por meio de um canal de atualização considerado confiável, aproveitando a própria infraestrutura utilizada para manter o software das centrais atualizado.
Segundo a Kaspersky, este é o primeiro caso documentado de uma campanha desenvolvida especificamente para atingir unidades principais de veículos por meio desse tipo de cadeia de infecção.
Depois de instalado, o código malicioso pode permanecer em execução de maneira silenciosa, funcionando em segundo plano como um aplicativo comum e sem apresentar uma interface visível para o motorista.
A campanha foi associada pelos pesquisadores ao MoYu Group, grupo de ameaças relacionado à botnet BadBox. A operação teria explorado mecanismos legítimos de atualização incorporados ao firmware de centrais multimídia Android fabricadas pela DoFun.
Canal de atualização é usado para distribuir malware
A cadeia identificada pelos pesquisadores começa no TWCore, aplicativo legítimo presente no sistema das centrais. Entre suas funções estão a coleta de dados analíticos e a atualização remota do software instalado na unidade principal.
Os atacantes teriam comprometido esse canal para distribuir um dropper chamado JarService, responsável por levar o malware desconhecido até os dispositivos afetados.
Uma vez instalado, o malware permanece ativo sem apresentar elementos visíveis na tela. A ausência de uma interface dificulta a percepção do ataque por parte do motorista, que pode continuar utilizando normalmente os recursos multimídia enquanto o código opera em segundo plano.
A Kaspersky identificou nove comandos remotos diferentes incorporados ao malware. Entre as capacidades encontradas estão a exibição de anúncios indesejados e a execução de diferentes formas de fraude publicitária.
O software malicioso também realiza a coleta de informações relacionadas ao dispositivo. Entre os dados identificados pelos pesquisadores estão a resolução da tela, o modelo do equipamento, o identificador da rede Wi-Fi e o endereço MAC.
Embora as centrais multimídia normalmente não sejam consideradas dispositivos que concentram grandes volumes de informações pessoais, os recursos de conectividade presentes nesses sistemas aumentam o interesse potencial para grupos de ameaças.
Conexão permanente amplia superfície de ataque
As chamadas unidades principais podem ser instaladas originalmente pelas próprias montadoras ou adicionadas posteriormente como equipamentos de atualização em veículos mais antigos. Em muitos casos, esses sistemas utilizam Android para facilitar a personalização da interface e a integração das diferentes funções.
Essa presença do sistema operacional também significa que aplicativos desenvolvidos para Android e diferentes tipos de malware podem, potencialmente, ser executados nesses equipamentos.
A arquitetura das centrais acrescenta outro fator de atenção: conectividade constante. Os sistemas podem contar com slots para cartões SIM ativos e acesso contínuo à internet para recursos como navegação e atualizações de software.
A combinação de conexão persistente com mecanismos de segurança potencialmente menos robustos cria uma superfície de ataque que pode ser explorada por criminosos digitais.
Nesse cenário, o comprometimento de uma central multimídia não está necessariamente relacionado apenas aos dados armazenados no equipamento. A possibilidade de manter um dispositivo conectado à internet e sob controle remoto também pode transformá-lo em um ponto dentro de uma infraestrutura maior de dispositivos comprometidos.
Campanha tem relação com a botnet BadBox
Os investigadores encontraram vínculos técnicos entre a campanha contra as centrais multimídia e ataques anteriores direcionados a decodificadores de TV. As operações apresentam elementos que apontam para o mesmo grupo de ameaças mais amplo.
A investigação também identificou uma relação entre o painel de administração da botnet e URLs incorporadas associadas aos sites dos serviços de proxy residencial PXYEDGE e ProxyForU.
A BadBox é descrita como uma extensa rede de dispositivos Android comprometidos. A infraestrutura já envolveu diferentes categorias de equipamentos, incluindo dispositivos de streaming, smartphones e tablets que podem chegar ao consumidor já infectados de fábrica.
A identificação de uma campanha direcionada especificamente às centrais automotivas amplia o conjunto de equipamentos Android que podem entrar nesse tipo de operação.
Fabricante foi notificado sobre o problema
A Kaspersky informou ter comunicado formalmente a DoFun sobre o uso indevido de seu canal legítimo de distribuição de software e da infraestrutura de atualização.
Segundo declarações da própria DoFun, o problema relacionado ao mecanismo utilizado na campanha já foi solucionado na maioria dos dispositivos afetados que permanecem em uso.
Ainda assim, os pesquisadores destacam que a dimensão da campanha permanece incerta. Também não está definido se centrais multimídia produzidas por outros fabricantes apresentam exposição semelhante ou podem ser afetadas por mecanismos de ataque comparáveis.
O caso coloca em evidência uma categoria de dispositivos que tradicionalmente recebeu menos atenção quando comparada a smartphones, computadores e outros equipamentos conectados. Com a expansão dos recursos digitais nos automóveis, as centrais passaram a concentrar conectividade, software e acesso permanente à internet, aumentando a importância de mecanismos de proteção para esse componente do veículo.
