A Kaspersky identificou a primeira campanha documentada de um programa malicioso desenvolvido especificamente para infectar centrais multimídia de veículos com Android. Descoberta em junho de 2026, a operação utiliza uma cadeia de infecção criada para esses sistemas e pode permitir fraudes publicitárias, uso dos dispositivos como intermediários para atividades maliciosas e outras ações criminosas.
Segundo a empresa, o ataque utiliza um downloader furtivo de múltiplos estágios. Os pesquisadores encontraram indícios de que a campanha pode estar relacionada ao MoYu Group, grupo associado ao botnet BadBox, formado por dispositivos Android comprometidos e controlados remotamente por criminosos.
Centrais multimídia entram no radar dos criminosos
As centrais multimídia podem ser instaladas originalmente pelas montadoras ou adicionadas posteriormente a veículos mais antigos. Como muitos desses equipamentos utilizam Android, aplicativos convencionais e códigos maliciosos desenvolvidos para a plataforma podem ser executados nesses dispositivos.
Embora esses sistemas normalmente não armazenem grandes volumes de informações pessoais sensíveis, eles podem contar com conexão constante à internet e slots para cartões SIM. Esses recursos, utilizados para navegação, atualizações e outros serviços, também ampliam as possibilidades de exploração por parte de criminosos.
Falha em atualização permitiu instalação
De acordo com a Kaspersky, o malware chegava ao dispositivo disfarçado como um aplicativo comum, sem interface visível e executado em segundo plano. A instalação ocorria por meio de uma vulnerabilidade no sistema responsável por atualizar os aplicativos das centrais multimídia.
A ferramenta é utilizada em diferentes modelos e foi desenvolvida pela DoFun para realizar o download automático dos programas necessários ao funcionamento das centrais. Os criminosos exploraram esse mecanismo para distribuir o JarService, programa capaz de instalar outros malwares sem o conhecimento do motorista.
A origem da exploração ainda não foi determinada. A empresa responsável pelo sistema, no entanto, foi informada sobre a vulnerabilidade e corrigiu a falha.
A análise da Kaspersky também identificou nove comandos diferentes implementados pelos invasores. A infraestrutura utilizada na campanha recebia informações sobre os dispositivos, como resolução da tela, modelo do equipamento, identificador da rede Wi-Fi conectada e endereço MAC.
Investigação aponta possível relação com BadBox
Os pesquisadores encontraram semelhanças entre a campanha contra as centrais automotivas e ataques anteriores contra dispositivos de televisão conectados à internet. A partir dessa comparação, a Kaspersky identificou indícios de ligação com o MoYu Group, associado ao botnet BadBox.
A infraestrutura utilizada para administrar a botnet também apresenta elementos técnicos semelhantes aos encontrados nos serviços de proxy residencial PXYEDGE e ProxyForU, segundo a empresa.
A BadBox reúne dispositivos Android comprometidos, incluindo aparelhos de streaming, smartphones e tablets. Os criminosos podem utilizar backdoors para realizar fraudes publicitárias, roubar informações e direcionar tráfego de internet por meio das redes dos dispositivos infectados.
“Apesar dos esforços de especialistas em cibersegurança e das autoridades para desarticular a botnet BadBox, agentes individuais associados a ela continuam realizando atividades maliciosas e infectando dispositivos em todo o mundo. Os métodos de distribuição desse tipo de malware estão se tornando cada vez mais variados, desde backdoors pré-instalados até aplicativos de IPTV comprometidos. Neste caso analisado, observamos um método de distribuição ainda mais sofisticado, que explora a funcionalidade legítima de atualização de software de um aplicativo do sistema. Agentes maliciosos estão conquistando ativamente novas plataformas. Este malware se tornou o primeiro aplicativo malicioso direcionado especificamente a centrais multimídia de veículos por meio de uma cadeia de infecção desenvolvida especialmente para esses sistemas automotivos. Isso serve como um alerta de que as plataformas automotivas modernas precisam urgentemente de uma proteção robusta contra malware”, comenta Fabio Marenghi, pesquisador líder de segurança da Kaspersky.
