Pesquisadores de cibersegurança identificaram uma nova família de malware desenvolvida especificamente para infectar firmware de centrais multimídia automotivas baseadas em Android produzidas pela DoFun, em um ataque à cadeia de suprimentos que usa um aplicativo legítimo de atualização de dispositivos para disseminar a ameaça e recrutar aparelhos comprometidos para uma botnet de proxy ou para fraude em anúncios.
A Kaspersky, que descobriu a ameaça em junho de 2026, informou que o objetivo final do malware é atuar como um downloader em múltiplas etapas, viabilizando fraude em anúncios e a criação de uma botnet de proxy. Os pesquisadores atribuíram a operação ao grupo MoYu, um threat actor já associado à botnet de malware BadBox.
“O malware se espalhou por meio dos atualizadores integrados ao firmware de centrais automotivas baseadas em Android”, afirmou o pesquisador de segurança Dmitry Kalinin. “Este é o primeiro caso documentado de malware encontrado em uma central de carro, com uma cadeia de infecção específica para esse tipo de dispositivo.”
A operação do MoYu mira sistemas da DoFun, uma fornecedora chinesa de software e hardware automotivo pertencente à Shenzhen Driving Control Technology Co., Ltd. A DoFun fornece software automotivo, serviços de cloud e hardware, e comercializa centrais multimídia genéricas baseadas em Android, que funcionam como o centro de comando dos sistemas de entretenimento, navegação e configurações do carro.
A atividade foi atribuída com alto grau de confiança ao MoYu Group, exposto no ano passado pela equipe HUMAN Satori Threat Intelligence and Research como parte de um esquema mais amplo de fraude em anúncios e proxy residencial batizado de BADBOX. Em julho de 2025, o Google abriu um processo contra 25 indivíduos ou entidades não identificados na China, acusados de operar a botnet BADBOX e sua infraestrutura.
Uma central multimídia automotiva é um hub central que combina funções de multimídia com controle parcial de alguns recursos do veículo. Ela pode ser instalada de fábrica ou adicionada a veículos mais antigos como parte de uma atualização de aftermarket. Como as centrais automotivas com Android se tornaram populares tanto em adaptações quanto em veículos de fábrica, uma grande parte dos aplicativos comuns e, por consequência, do malware, também pode rodar nelas.
Isso as transforma em um alvo emergente para criminosos, já que esses sistemas contam com slot para cartão SIM, o que permite acesso à internet para navegação e atualizações de software.
“As formas de distribuição desse tipo de malware estão se tornando bastante variadas, indo de backdoors pré-instalados a aplicativos de IPTV comprometidos”, disse Kalinin em nota. “Neste caso analisado, observamos um método de distribuição ainda mais sofisticado, explorando a função legítima de atualização de software de um aplicativo do sistema.”
Em junho, pesquisadores da Kaspersky encontraram um arquivo APK malicioso sendo baixado a partir de um aplicativo legítimo de sistema da DoFun, o TWCore, identificado como “com.tw.core”, projetado para coletar dados de telemetria e atualizar o software da central em formato APK por meio de um broker de mensagens MQTT hospedado no subdomínio “cardoor[.]cn”. O arquivo APK é baixado para o caminho “<TWCore external cache dir>/push/apk/” para instalação.
Os threat actors por trás da campanha teriam armado esse canal de atualização para entregar um malware até então desconhecido diretamente às centrais, usando um dropper apelidado de JarService e adotando medidas para evitar detecção. O aplicativo desconhecido não possui interface e, quando executado, descriptografa e executa um loader de segunda etapa, que estabelece comunicação com um servidor de command and control (C2) e baixa outro payload criptografado.
O ponto de partida é um aplicativo legítimo do sistema chamado TWCore, identificado como “com.tw.core”, projetado para coletar dados de telemetria e atualizar o software da central no formato de arquivos APK, usando um broker de mensagens MQTT hospedado no subdomínio “cardoor[.]cn”. O arquivo APK é baixado para o caminho “<TWCore external cache dir>/push/apk/” para instalação.
O loader é responsável por iniciar a comunicação com os servidores dos atacantes e baixar o payload final, que então se instala como um aplicativo comum de usuário. No entanto, ele não possui interface e opera de forma oculta em segundo plano. Por padrão, ele está configurado para enviar uma requisição POST ao endpoint de command and control “/cpc/api/task” a cada 90 minutos, junto com informações sobre o dispositivo infectado e a versão da configuração.
O payload final envia periodicamente informações do dispositivo, como modelo, resolução da tela, SSID do Wi-Fi e endereço MAC, além de receber comandos dos atacantes. Se a configuração estiver desatualizada, o servidor C2 retorna uma configuração atualizada contendo novos endereços de C2 e novos caminhos para o envio de requisições HTTP. Se a versão da configuração não precisar de atualização, o servidor C2 retorna identificadores de comando inteiros, que os atacantes chamam de productId.
“O Trojan mapeia cada identificador para informações de comando, que ele armazena como um objeto JSON serializado usando a API SharedPreferences”, informou a Kaspersky.
O malware oferece suporte aos seguintes nove comandos:
return — recupera um valor específico do armazenamento SharedPreferences do Android
copy — copia conteúdo armazenado ou baixado para a área de transferência do dispositivo
http — envia requisições HTTP GET ou POST e pode salvar parte da resposta
web — abre uma URL em um WebView e executa o JavaScript fornecido
loadlib — não estava totalmente implementado quando a Kaspersky publicou o relatório
loadlib2 — baixa e executa código arbitrário ou módulos adicionais
loadlib3 — não estava totalmente implementado quando a Kaspersky publicou o relatório
deeplink — abre um recurso específico no navegador
traceroute — verifica se hosts especificados estão acessíveis usando ICMP ping
A Kaspersky afirmou que o malware não interfere na condução nem nos sistemas críticos de controle do veículo e parece ter sido projetado para fraude publicitária e para transformar centrais multimídia conectadas à internet em nós de proxy residenciais, com fins de monetização. Os pesquisadores descobriram que o operador carregava principalmente um módulo de proxy reverso chamado “zhima”, que transforma a central multimídia em um nó de botnet de proxy, além de realizar requisições web para atividades de fraude de cliques.
Os threat actors também foram flagrados usando os comandos “loadlib2” e “http” para baixar o “zhima”, um módulo de proxy reverso documentado no mês passado pela equipe Nokia Deepfield Emergency Response Team e distribuído de forma seletiva por meio de aplicativos de IPTV instalados em TV boxes Android baratas.
Em nota, a DoFun afirmou à Kaspersky que o problema foi resolvido. As empresas foram procuradas para esclarecer o vetor inicial de comprometimento, e a reportagem será atualizada assim que houver novas informações.
“Apesar dos esforços de especialistas em cibersegurança e de órgãos de segurança pública para derrubar a botnet BADBOX, indivíduos associados a ela continuam suas atividades maliciosas, infectando dispositivos em todo o mundo”, disse Kalinin.
“Este malware se tornou o primeiro aplicativo malicioso especificamente voltado para centrais automotivas, por meio de uma cadeia de infecção explicitamente adaptada a esses sistemas veiculares. Isso serve como um alerta de que as plataformas automotivas modernas precisam urgentemente de proteção robusta contra malware.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...