Um novo ataque mostra que centrais multimídia Android instaladas em carros também podem ser transformadas em ferramentas para cibercriminosos. Pesquisadores da Kaspersky identificaram um malware capaz de comprometer equipamentos automotivos genéricos e recrutá-los para uma botnet de proxies residenciais, usada para atividades fraudulentas.
A campanha explorou a cadeia de distribuição de software da DoFun, fabricante chinesa de centrais multimídia. Por meio do aplicativo legítimo TWCore, os criminosos conseguiram distribuir o JarService, um malware desenvolvido para receber comandos remotamente, baixar novos componentes e transformar os dispositivos infectados em nós de uma infraestrutura controlada pelos atacantes.
O caso chama atenção porque demonstra uma evolução importante das ameaças para Android: o alvo deixou de ser apenas o smartphone. O painel conectado do automóvel passou a fazer parte da superfície de ataque, especialmente quando utiliza hardware genérico, sistemas desatualizados e mecanismos de atualização pouco protegidos.
Como ocorreu o ataque à cadeia de suprimentos da DoFun
A DoFun, ligada à empresa Shenzhen Driving Control Technology, fornece centrais multimídia Android utilizadas em diferentes veículos. Esses equipamentos oferecem recursos como reprodução de mídia, navegação, conectividade Wi-Fi e instalação de aplicativos.
O problema identificado pela Kaspersky estava relacionado ao TWCore, um aplicativo legítimo presente nas centrais. O software é utilizado para funções de telemetria e atualização do sistema e se comunica com servidores por meio do protocolo MQTT.
Foi justamente esse mecanismo de atualização que acabou sendo abusado.
Segundo os pesquisadores, uma opção chamada installNotExists permitia instalar um aplicativo caso determinado pacote ainda não estivesse presente no dispositivo. Na prática, isso criou uma oportunidade para que aplicativos maliciosos fossem distribuídos por meio de uma infraestrutura que, originalmente, deveria servir para manter as centrais atualizadas.
Entre os arquivos distribuídos estava o JarService, um aplicativo sem uma interface convencional que poderia permanecer funcionando em segundo plano sem chamar a atenção do motorista.
O cenário caracteriza um clássico ataque à cadeia de suprimentos, no qual o criminoso não precisa necessariamente atacar diretamente cada vítima. Em vez disso, ele compromete ou abusa de um componente confiável utilizado para distribuir software a vários dispositivos.
Imagem: Kaspersky
Como o JarService controla a central Android
O JarService funciona como o primeiro estágio da infecção. Seu código contém dados criptografados que são carregados e descriptografados durante a execução para iniciar componentes adicionais.
Depois, o malware estabelece comunicação com a infraestrutura dos atacantes e pode receber instruções para executar diferentes operações no dispositivo.
A arquitetura permite separar a infecção inicial das funções efetivamente utilizadas pelos criminosos. Isso dificulta a análise e também permite que novos componentes sejam enviados posteriormente sem exigir a substituição completa do malware original.
Entre os comandos identificados pelos pesquisadores estão:
- return: recupera informações armazenadas nas preferências do Android.
- copy: manipula conteúdo relacionado à área de transferência.
- http: executa requisições HTTP GET ou POST.
- web: abre páginas em um WebView e permite executar código JavaScript fornecido remotamente.
- loadlib: mecanismo destinado ao carregamento de bibliotecas adicionais.
- loadlib2: permite baixar e carregar componentes adicionais.
- loadlib3: outro mecanismo de carregamento identificado na ameaça.
- deeplink: abre recursos especificados pelos operadores.
- traceroute: executa verificações relacionadas à conectividade de rede.
O comando loadlib2 é especialmente importante porque permite ampliar as capacidades da infecção. Foi por meio desse mecanismo que os pesquisadores encontraram o componente zhima, responsável por transformar a central em parte de uma rede de proxies.
Como a central vira um proxy para os criminosos
O módulo zhima muda completamente o propósito da infecção. Em vez de utilizar a central apenas para executar comandos locais, os criminosos passam a explorá-la como um ponto de saída para tráfego de internet.
Na prática, a central comprometida funciona como um proxy residencial. Isso permite que determinadas conexões realizadas pelos operadores aparentem ter origem no endereço IP associado à internet utilizada pelo dispositivo infectado.
Esse tipo de infraestrutura tem grande valor para grupos criminosos porque pode ser utilizado para distribuir atividades automatizadas entre diversos endereços IP residenciais. Com milhares de dispositivos comprometidos, os operadores conseguem criar uma rede descentralizada muito mais difícil de bloquear de uma só vez.
A Kaspersky identificou ainda funcionalidades relacionadas a fraude de cliques e publicidade, indicando que a botnet poderia ser utilizada para gerar tráfego artificial e obter ganhos financeiros.
O grupo MoYu foi associado à campanha pelos pesquisadores devido a semelhanças técnicas e à infraestrutura utilizada. A Kaspersky encontrou sobreposição com atividades anteriormente relacionadas ao grupo, incluindo elementos associados ao ecossistema de BADBOX e serviços de proxy residencial.
Por que o ataque preocupa os proprietários de carros
Apesar do impacto, é importante separar o risco real do sensacionalismo.
A investigação não indicou que o malware tenha capacidade de assumir diretamente direção, freios, acelerador ou outros controles essenciais do veículo. Portanto, não se trata de um cenário em que um criminoso passa a dirigir remotamente o automóvel por meio da central multimídia.
O problema está em outro lugar: conectividade, privacidade e segurança da rede.
Uma central comprometida pode consumir parte da conexão de internet do veículo, processar tráfego de terceiros e expor informações técnicas do dispositivo. Entre os dados observados pelos pesquisadores estão informações relacionadas ao equipamento e à conectividade, como SSID da rede Wi-Fi e endereço MAC.
Também existe o risco de impacto sobre a largura de banda. Como o equipamento passa a participar de uma infraestrutura criminosa, recursos da conexão do proprietário podem ser utilizados sem autorização.
Isso é particularmente preocupante em centrais Android genéricas porque muitos modelos utilizam versões modificadas do sistema operacional e dependem de mecanismos próprios de atualização. Em alguns casos, o usuário sequer sabe quem mantém o firmware ou quando a última atualização de segurança foi disponibilizada.
O ataque à DoFun mostra por que essa questão merece mais atenção.
Uma central multimídia pode parecer apenas um acessório para reproduzir músicas, executar aplicativos ou utilizar GPS. Entretanto, quando possui acesso à internet, ela se torna mais um computador conectado dentro do automóvel.
E, como qualquer outro computador conectado, pode representar uma porta de entrada para ameaças.
O que essa descoberta revela sobre a segurança automotiva
O caso do JarService representa um alerta importante para toda a indústria. A segurança de um veículo conectado não termina nos sistemas responsáveis pela condução.
Cada dispositivo Android instalado no carro, cada aplicativo de atualização e cada serviço conectado amplia a superfície que precisa ser protegida.
A exploração da cadeia de suprimentos da DoFun é especialmente preocupante porque utiliza um mecanismo legítimo para distribuir software malicioso. Para o usuário final, uma atualização aparentemente normal pode esconder uma ameaça que ele não teria motivos para questionar.
A Kaspersky informou a fabricante sobre a descoberta, e a DoFun tomou medidas para corrigir os problemas identificados.
Para os proprietários de centrais multimídia Android, o episódio reforça algumas recomendações básicas: evitar firmware de procedência desconhecida, não instalar APKs suspeitos, manter o sistema atualizado sempre que houver uma atualização oficial e desconfiar de equipamentos que não recebem qualquer suporte de segurança.
O mais importante é entender que uma central multimídia conectada é um dispositivo de computação, e não apenas um acessório do carro.
A campanha do MoYu mostra até onde essa superfície de ataque pode chegar: uma central instalada no painel pode acabar sendo utilizada como parte de uma rede global de proxies e fraudes sem que o proprietário perceba.