Carros na mira dos criminosos: campanha de malware tem como alvo sistemas multimédia dos automóveis

A Kaspersky descobriu uma nova campanha de malware dirigida a sistemas multimédia de veículos baseados em Android. A ameaça explora mecanismos legítimos de atualização de software para infetar os dispositivos de forma discreta. Uma vez instalada, permite aos atacantes realizar fraude publicitária, recolher informação dos dispositivos e descarregar módulos maliciosos. 

A descoberta evidencia os novos riscos de cibersegurança associados à crescente utilização de plataformas Android nos veículos, num momento em que o mercado automóvel se torna cada vez mais digital, conectado e dependente de software.

Em junho de 2026, a Kaspersky descobriu um novo malware para Android dirigido aos sistemas multimédia de veículos – sistemas que combinam funcionalidades multimédia e, em alguns casos, funções de controlo do veículo. Estes sistemas integram recursos de entretenimento e funções de controlo do veículo e podem vir de fábrica ou ser instalados após a compra. Os principais vetores de ataque nesses ecossistemas englobam o acesso físico não autorizado e a exploração de vulnerabilidades no sistema operativo ou em módulos específicos da central.

Sob a forma de um downloader furtivo e com várias etapas, esta campanha representa o primeiro caso documentado de infeção de um sistema multimédia automóvel através de uma cadeia de infeção especificamente concebida para estes sistemas. O objetivo é implementar um malware em várias etapas que permita realizar fraude publicitária e outras atividades maliciosas. Os investigadores da Kaspersky acreditam que esta atividade poderá ser atribuída ao grupo MoYu, um agente de ameaça estreitamente ligado à conhecida botnet BadBox.

Sistemas multimédia dos veículos como alvo

Os sistemas multimédia dos veículos podem ser instalados de fábrica ou adicionados posteriormente em veículos mais antigos. Uma vez que os fabricantes destes sistemas recorrem frequentemente ao sistema operativo Android para personalizar facilmente as interfaces e adicionar componentes essenciais, a maioria das aplicações Android convencionais, e também os respetivos malwares, pode ser executada nestes dispositivos. Embora estes sistemas raramente armazenem dados pessoais sensíveis, geralmente incluem ranhuras para cartões SIM e dispõem de acesso permanente à Internet para navegação e atualizações de software, o que os torna potenciais alvos para os atacantes.

O risco ganha particular relevância à medida que o automóvel se transforma numa plataforma digital. Os veículos mais recentes integram cada vez mais sistemas operativos, aplicações, conectividade permanente, serviços na cloud, sistemas de assistência à condução e atualizações remotas de software. Desta forma, componentes que anteriormente tinham uma função essencialmente mecânica ou eletrónica passam a depender também de software e de ligações de rede.

Portugal, um mercado propício aos sistemas multimédia "aftermarket"

Este tipo de ataque ganha particular relevância em Portugal, um dos países europeus com o parque automóvel mais envelhecido. Segundo dados da ACAP, a idade média dos automóveis ligeiros de passageiros ultrapassou, pela primeira vez, os 14 anos em 2024, e cerca de 1,6 milhões de veículos — mais de um quarto do total em circulação — têm já mais de 20 anos.

É precisamente esta realidade que alimenta a procura por sistemas multimédia Android vendidos como acessório, à parte do veículo, e amplamente disponíveis em plataformas como a AliExpress ou a Amazon. Por preços reduzidos, estes equipamentos prometem trazer a um carro mais antigo funcionalidades como ecrã tátil, Android Auto, GPS ou ligação Wi-Fi e Bluetooth, sem exigir a compra de um veículo novo.

Ao contrário dos sistemas instalados de fábrica, estes dispositivos aftermarket chegam ao mercado através de cadeias de fornecimento menos transparentes e com processos de atualização de software fora do controlo direto dos fabricantes automóveis — precisamente o tipo de mecanismo que os atacantes exploraram nesta campanha. O crescimento deste mercado paralelo de eletrónico automóvel significa que cada vez mais condutores portugueses têm, sem o saber, um dispositivo Android ligado à Internet dentro do próprio carro.

Atualizações comprometidas como vetor de infeção

O malware foi distribuído através dos mecanismos de atualização integrados no firmware de vários modelos de sistemas multimédia Android desenvolvidos pela DoFun. A Kaspersky notificou o fabricante relativamente à utilização abusiva deste mecanismo de distribuição de software. Segundo a DoFun, o problema já foi corrigido. A cadeia de infeção tem origem numa aplicação legítima do sistema denominada TWCore, inicialmente responsável pela recolha de dados analíticos e pela atualização do software do sistema multimédia. A TWCore recebia instruções do servidor do fabricante com indicações sobre quais as aplicações que deveriam ser instaladas ou atualizadas nos sistemas.

Os atacantes exploraram este canal para distribuir diretamente para os sistemas multimédia um malware até então desconhecido, através de um dropper denominado JarService. O processo de infeção era complexo e composto por várias etapas, tendo sido concebido para evitar a deteção. O malware era instalado como uma aplicação normal, mas não tinha interface de utilizador e funcionava em segundo plano sem que o utilizador se apercebesse.

A Kaspersky descobriu que os atacantes tinham implementado nove comandos distintos, capazes de apresentar anúncios indesejados, executar fraude publicitária e descarregar módulos maliciosos adicionais. Os atacantes recebiam também informações sobre os dispositivos, incluindo a resolução do ecrã, o modelo do dispositivo, o identificador da rede Wi-Fi à qual este estava ligado e o endereço MAC.

Ligações ao grupo MoYu

A Kaspersky identificou ligações entre esta campanha e o grupo MoYu, associado à botnet BadBox, através da comparação desta campanha com ataques anteriores dirigidos a set-top boxes de televisão. Além disso, o painel de administração desta botnet partilha elementos, como URLs incorporados no código de páginas Web, com os sites dos serviços de proxy residencial PXYEDGE e ProxyForU.

A botnet BadBox é uma rede de grande escala constituída por dispositivos Android comprometidos — streaming boxes de televisão, smartphones e tablets – que chegam aos utilizadores já infetados com malware de fábrica. Os atacantes utilizam estas portas traseiras ocultas para realizar fraude publicitária, roubar dados e transformar redes domésticas em pontos de encaminhamento ilegal de tráfego através de proxies.

"Apesar dos esforços dos especialistas em cibersegurança e das autoridades policiais para encerrar a botnet BadBox, indivíduos associados à mesma continuam as suas atividades maliciosas, infetando dispositivos em todo o mundo", afirma Dmitry Kalinin, investigador de segurança da Kaspersky.

"Os métodos de distribuição deste tipo de malware estão a tornar-se cada vez mais diversificados – desde portas traseiras pré-instaladas até aplicações IPTV comprometidas. Neste caso, observámos um método de distribuição ainda mais sofisticado, que explora a funcionalidade legítima de atualização de software de uma aplicação do sistema. Os agentes maliciosos estão a explorar ativamente novas plataformas. Este malware é a primeira aplicação maliciosa especificamente dirigida a sistemas multimédia de veículos através de uma cadeia de infeção concebida para estes sistemas. Este caso serve de alerta para a necessidade urgente de proteger as plataformas automóveis modernas contra malware", conclui Dmitry Kalinin.

Para mais informações, consulte o artigo publicado em Securelist.com.

Sobre a Kaspersky Threat Research

A equipa Threat Research é uma referência na proteção contra ciberameaças. Através do seu trabalho ativo de análise de ameaças e desenvolvimento de tecnologia, os especialistas da equipa TR garantem que as soluções de cibersegurança da Kaspersky são sustentadas por informação aprofundada sobre ameaças e oferecem uma proteção robusta e eficaz, fornecendo informações críticas sobre ciberameaças e segurança sólida aos clientes e à comunidade em geral.

Kaspersky

A Kaspersky é uma empresa global de cibersegurança e privacidade digital, fundada em 1997. Através da inovação no setor e de uma abordagem de Ciberimunidade, a Kaspersky protege consumidores, empresas, infraestruturas críticas e governos contra ciberameaças, tendo já protegido mais de mil milhões de dispositivos. A Kaspersky garante uma Cibersegurança ao serviço do negócio, com foco na obtenção de resultados claros, na proteção das receitas, na simplificação das cargas de trabalho e na prevenção de períodos de indisponibilidade. O profundo conhecimento da Kaspersky sobre ciberameaças e a sua experiência em segurança são continuamente transformados em soluções e serviços inovadores para organizações de todas as dimensões, desde pequenas empresas a grandes organizações, combinando tecnologias de proteção comprovadas, baseadas em Inteligência Artificial, com uma gestão simples e apoio especializado. Reconhecida em testes independentes e merecedora da confiança de milhões de pessoas em todo o mundo e de quase 200 mil organizações, a Kaspersky ajuda a detetar ameaças mais cedo, a responder mais rapidamente e a operar com maior confiança e liberdade, protegendo aquilo que é mais importante para os seus clientes. Saiba mais em www.kaspersky.pt/.