Um aplicativo sem nenhuma tela, sem ícone, sem qualquer função visível para o motorista. Foi justamente essa ausência que chamou atenção de pesquisadores da Kaspersky durante o monitoramento de ameaças ao Android em junho de 2026 — e que expôs o primeiro malware documentado a atacar especificamente centrais multimídia automotivas.
A empresa de cibersegurança publicou nesta semana o relatório “O passageiro invisível no seu carro”, detalhando como o software malicioso se espalhou por meio do próprio mecanismo de atualização de firmware de centrais multimídia da fabricante DoFun, sem depender de falhas escondidas ou brechas técnicas exploradas às escondidas.
O objetivo final da operação, segundo a Kaspersky, é fraude publicitária e a montagem de uma botnet de proxies residenciais — rede de dispositivos infectados usada para mascarar tráfego de internet e revender esse acesso a terceiros.
Por que isso é diferente de um vírus comum
Centrais multimídia automotivas com Android existem porque o sistema operacional já vem preparado para esse tipo de uso, o que facilita o trabalho dos fabricantes: é possível reaproveitar boa parte do código-fonte e adicionar aplicativos próprios para personalizar a interface e os recursos do carro. Só que essa mesma base aberta também permite que praticamente qualquer aplicativo malicioso feito para Android rode em uma central multimídia, segundo a Kaspersky.
Nem todo malware faz sentido nesse ambiente, porém. Um cavalo de troia bancário, por exemplo, seria inútil ali — ninguém faz transferências pelo painel do carro. Mas centrais multimídia têm slot para chip, conexão constante à internet e capacidade de processamento, o que as torna alvos atrativos para outro tipo de crime: recrutar o dispositivo para uma rede de bots, de forma parecida com ataques já vistos em roteadores domésticos e outros equipamentos conectados (IoT).
Como a infecção acontece, passo a passo
A porta de entrada é o TWCore, aplicativo de sistema legítimo presente nas centrais multimídia da DoFun, responsável por coletar dados analíticos e instalar atualizações de software. O processo normal funciona por meio de um broker de mensagens que informa ao TWCore quais arquivos devem ser baixados e instalados.
O detalhe crítico está em um campo de configuração chamado installNotExists. Quando ativado, ele permite que o TWCore instale aplicativos que nunca estiveram no dispositivo — sem checar se já existem, como faria normalmente. É exatamente essa brecha de projeto que os criminosos exploraram para empurrar o malware disfarçado de atualização comum.
A partir daí, a Kaspersky reconstruiu uma cadeia de infecção em múltiplas etapas:
O TWCore baixa um pequeno dropper chamado JarService, sem interface e sem função aparente, que decodifica dados criptografados embutidos em seu próprio código para liberar a etapa seguinte. Em seguida entra em ação um carregador, que se comunica com servidores de comando e controle (C2) dos atacantes e recebe instruções para baixar a terceira carga útil.
Essa comunicação já revela a lógica comercial por trás do ataque: a cada resposta do servidor, o dispositivo infectado recebe novos endereços, comandos e módulos, como se fosse atualizado remotamente pelos próprios criminosos.
A etapa final concentra o verdadeiro propósito da operação. O malware passa a reportar dados do dispositivo — resolução de tela, modelo, rede Wi-Fi conectada, endereço MAC — a cada 90 minutos, e aguarda comandos remotos. A Kaspersky catalogou nove comandos possíveis, que vão de exibir anúncios e simular cliques (fraude publicitária) a baixar e executar código adicional, abrir páginas em segundo plano e até checar a disponibilidade de outros servidores. Na prática, porém, os atacantes usam principalmente dois: um que baixa módulos extras e outro que faz requisições HTTP diretas.
O módulo mais relevante baixado dessa forma é o “zhima”, um proxy reverso que transforma o dispositivo infectado em um intermediário de tráfego de internet — a peça que sustenta a botnet de proxies. A própria Kaspersky observa que esse mesmo módulo foi identificado, de forma independente e praticamente ao mesmo tempo, pela equipe de resposta a emergências Deepfield, da Nokia, em decodificadores de TV, o que reforça que se trata de uma campanha ativa em múltiplos tipos de dispositivo, não um caso isolado.
Malware invade central multimídia automotiva pela 1ª vez
Um nome conhecido por trás do ataque
Ao rastrear a origem do código, os pesquisadores encontraram um detalhe que fechou a atribuição: uma thread do malware batizada internamente como mosdk-host-loader. Investigando essa referência, a Kaspersky chegou a um aplicativo malicioso já identificado em decodificadores de TV, com componentes que remetiam a um serviço chamado AdmoyuService — ligação direta ao Grupo MoYu, ator já associado pela empresa de pesquisa HUMAN à plataforma de malware BADBOX, uma das botnets mais conhecidas voltadas a dispositivos Android de baixo custo.
A atribuição foi reforçada por outra descoberta: um painel de administração do módulo zhima, hospedado em domínio ligado à infraestrutura dos atacantes, permitia cadastro público mediante código de convite — e trazia referências a empresas que comercializam proxies residenciais, incluindo uma nota de direitos autorais associada a um desses serviços.
Para a Kaspersky, a sobreposição de infraestrutura, padrões de nomenclatura e cronologia com achados independentes da Nokia deixam a atribuição ao Grupo MoYu com alto grau de certeza.
A empresa afirma ter notificado a DoFun sobre a brecha na distribuição via TWCore, e que o fabricante já corrigiu as falhas que permitiam o abuso do mecanismo de atualização.
Mecânica Online® com Tarcisio Dias – Esse caso muda a forma como o setor precisa pensar em segurança automotiva digital.
Até agora, a maior parte da preocupação com cibersegurança em carros girava em torno de acesso físico ao veículo ou falhas de software exploradas remotamente.
Aqui o ataque usou algo mais sutil: um canal de atualização em que o usuário confia por definição.
Isso é particularmente grave porque atualizações de firmware são, hoje, o principal mecanismo de manutenção remota de veículos conectados.
Se esse canal pode ser sequestrado, a confiança que sustenta toda a arquitetura de OTA (atualização over-the-air) fica comprometida.
O detalhe do aplicativo sem interface também merece atenção.
Foi justamente a ausência de qualquer elemento visual — um ícone, uma tela, um nome reconhecível — que chamou a atenção dos pesquisadores.
Isso mostra que a vigilância sobre esse tipo de ameaça em veículos ainda depende, em boa parte, de análise técnica especializada, não de sinais perceptíveis pelo motorista comum.
Para quem possui uma central multimídia Android — da DoFun ou de outros fabricantes que usam arquitetura semelhante — o cenário pede atenção redobrada a atualizações de software, à origem dos aplicativos instalados e ao comportamento anômalo do sistema, como lentidão ou consumo de dados fora do padrão.
Já discutimos aqui os riscos de invasão por acesso físico e vulnerabilidades de software em centrais multimídia; este caso mostra que a cadeia de distribuição legítima também virou alvo.
À medida que carros se tornam cada vez mais conectados e dependentes de software, a cadeia de atualização passa a ser tão crítica quanto qualquer outro componente de segurança do veículo — e precisa ser tratada como tal pelos fabricantes.
Retrovisor Mecânica Online® – Entenda o que está por trás da notícia
A descoberta partiu de uma anomalia simples: um aplicativo instalado sem interface nenhuma, o que levantou suspeita imediata dos pesquisadores da Kaspersky.
O vetor de ataque foi o próprio atualizador do sistema: o TWCore, aplicativo legítimo das centrais multimídia DoFun, foi manipulado para instalar arquivos que nunca deveriam estar ali.
A cadeia tem três estágios: um dropper inicial (JarService), um carregador intermediário e uma carga final voltada a fraude publicitária e proxy reverso.
O objetivo comercial é a botnet de proxies: o módulo “zhima” transforma o dispositivo infectado em intermediário de tráfego, revendido por serviços de proxy residencial.
A atribuição aponta para o Grupo MoYu, ligado à conhecida botnet BADBOX, com o mesmo malware identificado de forma independente pela Nokia em decodificadores de TV.
A DoFun já foi notificada e afirma ter corrigido as falhas que permitiam a distribuição do malware pelo canal de atualização.
Mecânica do jeito que você entende
Botnet: rede de dispositivos infectados que passam a ser controlados remotamente por criminosos, geralmente sem o conhecimento do dono, e usados em conjunto para atividades maliciosas.
Proxy residencial: conexão de internet de um dispositivo comum (como uma central multimídia ou um roteador doméstico) revendida para mascarar a origem real do tráfego de outra pessoa na rede.
OTA (over-the-air): forma de atualizar o software de um veículo remotamente, pela internet, sem necessidade de levá-lo a uma concessionária ou oficina.
Dropper: tipo de malware cuja função é apenas abrir caminho para instalar outros programas maliciosos no dispositivo infectado, funcionando como a primeira porta de entrada de um ataque.
Para acompanhar as próximas atualizações sobre cibersegurança automotiva e tecnologia veicular, siga @tarcisiomecanicaonline.
Siga Google Discover – Mecânica Online®