A digitalização dos automóveis abriu uma nova frente para o cibercrime. Pesquisadores identificaram uma campanha de malware criada especificamente para centrais multimídia automotivas baseadas em Android, na qual os criminosos conseguiram utilizar o próprio sistema de atualização dos equipamentos para distribuir código malicioso.
A ameaça foi descoberta em junho de 2026 em centrais que utilizam firmware desenvolvido pela DoFun. O caso chama atenção porque é apontado como o primeiro documentado em que uma cadeia de infecção foi desenvolvida especificamente para esse tipo de equipamento automotivo.
O objetivo não era assumir direção, freios ou outros controles críticos do veículo. A operação buscava algo diferente: transformar as centrais conectadas à internet em máquinas para fraude publicitária e em nós de uma rede de proxies.
O ataque começava em uma ferramenta legítima
O aspecto mais preocupante da campanha está na forma utilizada para distribuir o malware.
Em vez de depender de o motorista instalar um aplicativo suspeito, os criminosos exploraram o canal utilizado por uma aplicação legítima do próprio sistema para distribuir atualizações.
O componente envolvido é chamado TWCore, identificado pelo pacote com.tw.core.
Ele possui funções legítimas, como coleta de informações analíticas e atualização dos aplicativos existentes na central.
Para realizar essas tarefas, o software recebe instruções remotamente e pode baixar novos arquivos APK.
Os atacantes conseguiram aproveitar justamente essa infraestrutura para entregar malware aos equipamentos.
Malware chegava como se fosse uma atualização
Essa característica torna o episódio particularmente relevante para a segurança de dispositivos conectados.
Normalmente, recomenda-se manter equipamentos atualizados justamente porque novas versões corrigem vulnerabilidades.
Neste caso, entretanto, o próprio mecanismo responsável pela distribuição de software tornou-se parte da cadeia de ataque.
Quando o canal utilizado para entregar atualizações deixa de ser confiável, o problema muda completamente de dimensão.
O usuário não precisa baixar um APK de um site desconhecido nem clicar em um link malicioso. O código pode chegar por uma infraestrutura que o equipamento já considera legítima.
JarService inicia a infecção
O primeiro componente malicioso identificado na operação recebeu o nome de JarService.
Ele funciona como um dropper responsável por iniciar outro carregador e avançar para as próximas etapas da infecção.
Depois de executado, o sistema comprometido envia informações para a infraestrutura controlada pelos criminosos.
O servidor responde indicando de onde o próximo estágio deverá ser baixado.
Os pesquisadores conseguiram identificar diferentes versões do malware, indicando que a ferramenta vinha sendo desenvolvida e atualizada ao longo do tempo.
Malware fica escondido na central
Depois que a cadeia é concluída, o malware passa a funcionar como uma aplicação Android.
Mas existe uma diferença importante para o motorista:
nenhum ícone ou interface gráfica precisa aparecer na tela.
O programa permanece executando silenciosamente em segundo plano.
Periodicamente, ele entra em contato com servidores de comando e controle para transmitir informações sobre o equipamento e receber novas instruções.
Isso permite que os operadores modifiquem o comportamento da ameaça depois que a central já está comprometida.
Hackers conseguem enviar diferentes comandos
A análise identificou suporte a nove tipos de comandos.
Entre as capacidades estão a realização de requisições HTTP, abertura de páginas em WebView, execução de JavaScript e download de componentes adicionais.
Uma das funções permite inclusive baixar e executar código arbitrário obtido de um endereço definido pelos criminosos.
Isso torna a ameaça modular.
Em vez de instalar todas as funcionalidades desde o início, os operadores podem acrescentar novos componentes conforme o objetivo da campanha.
Central também entrega informações sobre o dispositivo
O malware coleta diferentes dados técnicos.
Entre eles estão modelo da central multimídia, resolução da tela, identificador da rede Wi-Fi conectada e endereço MAC.
Isoladamente, essas informações podem parecer pouco relevantes.
Mas ajudam os operadores a identificar os dispositivos comprometidos e compreender o ambiente no qual o malware está funcionando.
Além disso, algumas centrais automotivas possuem slot para SIM e conexão própria com a internet, o que aumenta significativamente seu valor para uma botnet.
Veículo pode virar um proxy para criminosos
Uma das principais funções observadas pelos pesquisadores envolve um módulo chamado Zhima.
Esse componente transforma o dispositivo infectado em um proxy reverso.
Na prática, terceiros podem utilizar a conexão de internet da central como ponto de saída para suas próprias comunicações.
Para os serviços acessados, o tráfego parece estar vindo do endereço IP legítimo associado ao equipamento comprometido.
É justamente essa característica que torna redes desse tipo valiosas para diferentes atividades fraudulentas.
Ataque está ligado à BADBOX
A atividade foi associada com alta confiança ao MoYu Group, anteriormente relacionado à operação BADBOX.
Essa infraestrutura ficou conhecida por comprometer dispositivos Android conectados à internet e aproveitá-los para fraude publicitária e serviços clandestinos de proxy.
O caso das centrais automotivas demonstra como esse modelo pode se expandir para novas categorias de equipamentos.
Smart TVs, TV boxes, smartphones e outros dispositivos Android já representam alvos naturais.
Agora, os criminosos descobriram outra categoria de computador conectado permanentemente à internet:
a tela instalada no painel de um automóvel.
Isso significa que hackers podem controlar o carro?
É importante separar o risco demonstrado de cenários mais graves de segurança automotiva.
A pesquisa não demonstrou que esse malware consiga controlar direção, freios, acelerador ou outros sistemas críticos responsáveis pela condução do veículo.
O alvo identificado é a central multimídia Android.
Isso não torna a descoberta irrelevante, mas evita uma conclusão equivocada de que os carros infectados poderiam automaticamente ser dirigidos remotamente pelos criminosos.
O risco comprovado está relacionado ao comprometimento do equipamento, fraude publicitária, coleta de dados técnicos e utilização da conexão como proxy.
Centrais aftermarket merecem atenção especial
Existe outro elemento importante nessa discussão.
Muitas centrais Android são instaladas posteriormente em veículos mais antigos.
Esses equipamentos podem oferecer telas maiores, navegação, streaming, conectividade móvel e integração com smartphones por preços relativamente baixos.
Mas o mercado possui inúmeros fabricantes, fornecedores de firmware e cadeias de distribuição.
Nem todos mantêm o mesmo nível de segurança ou oferecem atualizações durante muitos anos.
Isso cria um desafio parecido com o observado no mercado de dispositivos IoT baratos: hardware funcional pode permanecer conectado durante anos mesmo depois que o suporte de software desaparece.
Carros estão se transformando em computadores conectados
O episódio também demonstra uma mudança estrutural na segurança automotiva.
O carro moderno possui cada vez mais componentes conectados.
Wi-Fi, Bluetooth, redes móveis, aplicativos, atualizações remotas e serviços em nuvem aumentam a conveniência, mas também ampliam a superfície disponível para ataques.
Mesmo componentes que não controlam diretamente funções críticas podem armazenar informações ou oferecer conectividade útil aos criminosos.
A central multimídia deixou de ser apenas um rádio sofisticado.
Em muitos casos, ela é literalmente um computador Android permanentemente instalado dentro do veículo.
Cadeia de atualizações vira ponto crítico de segurança
A principal lição da campanha talvez esteja menos no malware e mais na forma como ele chegou aos dispositivos.
Atualizações remotas são essenciais para manter equipamentos modernos seguros.
Mas isso significa que a infraestrutura responsável por distribuí-las precisa possuir níveis elevados de proteção.
Se um criminoso consegue interferir nessa cadeia, pode potencialmente alcançar grandes quantidades de dispositivos sem atacar cada usuário individualmente.
Segundo a investigação, o problema que possibilitava o abuso do mecanismo de distribuição utilizado no caso da DoFun foi corrigido após a divulgação responsável da descoberta.
Ainda assim, o episódio deixa um alerta importante para toda a indústria.
À medida que veículos incorporam Android, conexão permanente à internet e atualizações remotas, a segurança do carro passa a depender também da segurança dos servidores, aplicativos e fornecedores responsáveis pelo software instalado no painel.
