Uma campanha de malware conseguiu chegar a sistemas multimédia Android de automóveis através do mecanismo de atualização integrado. A investigação da Kaspersky aponta para equipamentos que usam software da DoFun, uma fornecedora de firmware e serviços para unidades instaladas de fábrica ou compradas posteriormente.
O caso não afeta todos os carros com Android nem significa que o malware consiga controlar a condução. O código observado procura gerar fraude publicitária e transformar o equipamento num ponto de uma rede proxy, permitindo que terceiros encaminhem tráfego de Internet através da ligação do automóvel.
Como o malware entrou no sistema
O ponto de entrada foi a TWCore, uma aplicação legítima incluída no software da DoFun. Esta aplicação recebe instruções de um servidor para descarregar e instalar atualizações. Segundo os investigadores, o mesmo canal foi abusado para instalar o JarService, uma aplicação sem interface visível que inicia uma cadeia de várias fases.
Depois de executado, o JarService descodifica um carregador, contacta servidores controlados pelos atacantes e recebe novos módulos. A carga final observada podia abrir páginas, executar JavaScript, fazer pedidos na Internet, copiar conteúdo para a área de transferência e descarregar código adicional.
Na utilização documentada, os atacantes instalaram sobretudo o módulo zhima. Este transforma a unidade multimédia num nó de proxy e pode usar a ligação do equipamento para ocultar tráfego de outras atividades. Também foram registados pedidos destinados a fraude de cliques em publicidade.
Que equipamentos podem estar em risco
A investigação limita a infeção a vários modelos de unidades Android com firmware da DoFun e com a aplicação TWCore. A Kaspersky não publicou uma lista simples de marcas de automóveis ou referências comerciais afetadas, nem apresentou um número confirmado de equipamentos comprometidos. A DoFun afirmou ter corrigido o problema após ser notificada.
Essa distinção evita um alarme enganador: Android Auto, a aplicação que projeta funções do telemóvel no ecrã do carro, não é o alvo descrito. Também não há indicação de que todos os sistemas Android Automotive ou todas as unidades genéricas compradas online estejam infetados.
Ao contrário do malware Manic que rouba dados bancários no Android, esta campanha não foi desenhada para capturar credenciais financeiras num telemóvel. O interesse dos atacantes está na ligação permanente à Internet e nos recursos do equipamento, que podem ser monetizados sem um sinal óbvio para o condutor.
O que pode fazer se tiver uma unidade DoFun
O primeiro passo é confirmar nas definições, na documentação ou junto do vendedor quem fornece o firmware. Se encontrar referências à DoFun ou ao pacote com.tw.core, procure uma atualização recente distribuída pelo fabricante legítimo. Não instale ficheiros APK enviados por fóruns, mensagens ou páginas que prometem uma correção rápida.
Também vale a pena rever aplicações desconhecidas, consumo anormal de dados móveis, aquecimento sem utilização e atividade de rede quando o carro está parado. Estes sinais não provam uma infeção, mas justificam desligar temporariamente a ligação móvel ou Wi-Fi e pedir apoio ao fabricante ou instalador.
Uma reposição de fábrica pode não ser suficiente se o problema estiver ligado ao firmware ou ao serviço de atualização. Por isso, a prioridade deve ser obter uma versão corrigida e confirmar a sua origem. A Kaspersky disponibilizou indicadores técnicos para equipas de segurança, mas a verificação comum depende sobretudo da identificação do fornecedor e de atualizações oficiais.
O incidente mostra que não se tratou de uma simples prova de conceito. O malware foi encontrado em equipamentos reais e distribuído sem ação do utilizador. Ao mesmo tempo, não existem provas de interferência com travagem, direção ou outros sistemas críticos de condução.
Fontes: Kaspersky Securelist · BleepingComputer · The Hacker News