Malware invade a central multimídia do carro para montar botnet de proxies

Introdução

Pesquisadores da Kaspersky (empresa de cibersegurança) documentaram o primeiro malware Android identificado rodando dentro de uma central multimídia automotiva — a tela de navegação e entretenimento do painel do carro. A ameaça viaja escondida no atualizador legítimo de firmware da central, se comunica por um broker de mensagens em um domínio chinês e transforma o veículo em um nó de uma botnet de proxies, rede de máquinas comprometidas usada para redirecionar tráfego criminoso.

O ataque foi atribuído ao grupo MoYu, ligado à plataforma de fraude BADBOX. Segundo a Kaspersky, trata-se de uma expansão inédita dessa infraestrutura criminosa: de caixas de TV e dispositivos baratos, o esquema agora alcança o hardware embarcado de automóveis, ampliando a base de proxies residenciais à disposição dos operadores.

Contexto: por que um carro vira alvo

A central multimídia moderna é essencialmente um tablet Android fixado no painel. Ela roda um sistema Android completo, conecta-se à internet (por Wi-Fi ou por um cartão SIM próprio) e permanece ligada durante toda a vida útil do veículo — anos a fio, sem atualizações regulares e sem a supervisão de segurança que um celular pessoal recebe. Para criminosos que montam botnets, esse perfil é valioso: hardware sempre online, com endereço IP residencial legítimo e quase nenhuma monitoração.

O valor não está nos dados do motorista, mas na conexão. Um proxy residencial — intermediário que encaminha tráfego usando um IP doméstico real — permite que golpistas escondam a origem de ataques, fraudes de cliques e acesso a serviços bloqueados. Cada central infectada é mais um IP limpo para alugar ou usar.

Cadeia de infecção: do atualizador ao proxy

A distribuição do malware explora um canal legítimo em vez de um exploit (falha explorável de software): o TWCore (aplicativo legítimo de sistema que atualiza o firmware da central). O atualizador baixa e instala componentes via MQTT (protocolo leve de mensagens para dispositivos IoT), um broker hospedado no domínio cardoor.cn — infraestrutura que os operadores passaram a usar também para entregar o código malicioso junto do firmware esperado.

A infecção acontece em três estágios, que se sucedem sem qualquer interação do motorista:

O primeiro estágio é um dropper batizado de JarService, que não apresenta interface ao usuário. Ele carrega um payload cifrado com XOR de 1 byte — uma técnica de ofuscação simples, mas suficiente para esconder o conteúdo de análises estáticas automáticas. O dropper descriptografa e executa o segundo estágio.

O segundo estágio é um carregador que faz uma requisição POST (método HTTP usado para enviar dados) ao servidor de comando e controle e baixa o componente final.

O terceiro estágio, o implante, é o que de fato executa o trabalho. Ele se comunica com o servidor de comando e controle a cada 90 minutos e, segundo a Kaspersky, expõe nove comandos acionáveis remotamente. O relatório detalha cinco deles, que já deixam evidente o modelo de negócio:

Comando	Função
Exibir anúncios	Injeta publicidade na tela da central para gerar receita de fraude
Fraude de cliques	Simula cliques em anúncios e links patrocinados
Requisições HTTP	Faz pedidos web arbitrários a partir do IP do veículo
Abrir links em WebView	Carrega páginas com JavaScript em um navegador embutido
Baixar código	Baixa e executa código arbitrário no dispositivo

O módulo baixado pelo comando de download é um proxy reverso chamado zhima, que conecta a central a uma rede de proxies sob demanda, permitindo que os operadores roteiem tráfego por IPs residenciais de veículos espalhados pelo mundo.

Histórico BADBOX: a plataforma que alimenta o esquema

BADBOX é uma plataforma de fraude conhecida por infectar dispositivos Android de baixo custo — como caixas de TV, tablets baratos e aparelhos de streaming — ainda na cadeia de fornecimento, antes de chegarem ao consumidor. O firmware adulterado embute o malware de fábrica, o que torna a infecção invisível para o usuário.

A ligação com o MoYu aponta para uma organização criminosa estruturada, especializada em monetizar dispositivos IoT e Android por fraude de anúncios e proxies. A novidade aqui é a migração para o segmento automotivo: as centrais multimídia representam uma nova fronteira de dispositivos sempre conectados, com baixa higiene de segurança e ciclo de atualização precário — o terreno ideal para esse modelo.

O padrão de abuso de canais legítimos do Android não é novo. Famílias bancárias como as analisadas na cobertura do RatHat e do StreamRAT também se apoiam em recursos oficiais do sistema para operar sem levantar suspeita. O que muda no BADBOX automotivo é o alvo: em vez de credenciais bancárias, o objetivo é transformar o hardware em ativo de infraestrutura para aluguel.

Como se proteger

A defesa em centrais multimídia passa por reduzir a superfície de ataque e desconfiar da procedência do firmware.

Atualize o firmware apenas por canais oficiais. O malware viaja junto do atualizador adulterado. Evite atualizações obtidas de fontes de terceiros, fóruns ou links não verificados — use o canal do fabricante do veículo ou da central.

Prefira marcas com histórico de atualização. Centrais genéricas de baixo custo raramente recebem correções. Ao comprar uma central ou um carro, verifique se o fabricante mantém um canal de firmware e segurança ativo.

Monitore o tráfego de rede do veículo. Se a central usa Wi-Fi ou SIM próprio, observe por conexões a domínios desconhecidos — em especial tráfego MQTT para brokers fora do esperado. Firewalls de rede doméstica e soluções como o Wazuh ajudam a sinalizar endpoints suspeitos.

Desconfie de comportamento anômalo. Publicidade inesperada na tela, lentidão, consumo de dados elevado ou a interface ligando sozinha são sinais de que a central pode estar comprometida.

Considere o isolamento de rede. Manter a central em uma rede separada, sem acesso a dispositivos sensíveis da casa, limita o alcance de uma eventual infecção.

Em frota corporativa, aplique o mesmo rigor do mobile. Empresas com veículos conectados devem tratar a central como um endpoint: inventário, atualização controlada e monitoramento de comportamento.

Conclusão

A descoberta da Kaspersky muda o mapa da ameaça: o BADBOX deixou de ser um problema de aparelhos baratos e alcançou o painel do carro, transformando veículos comuns em nós silenciosos de uma botnet de proxies. A gravidade não está no roubo de dados do motorista, mas na instrumentalização de milhões de dispositivos sempre conectados e sem supervisão.

Para o consumidor, a lição é simples: central multimídia é um computador, e merece o mesmo cuidado de higiene — firmware de origem confiável, monitoramento de rede e desconfiança de comportamento estranho. Para fabricantes e frotistas, é o alerta de que a segurança do software embarcado automotivo deixou de ser teoria.

Nota de honestidade: a atribuição ao grupo MoYu e a ligação com o BADBOX vêm da análise da Kaspersky sobre amostras reais de centrais multimídia. Não há relato de vítimas brasileiras confirmadas até o momento, mas o vetor — atualizadores de firmware adulterados em hardware Android — é globalmente replicável.

Perguntas frequentes

O que foi descoberto pela Kaspersky?

O primeiro malware Android documentado rodando dentro de uma central multimídia automotiva. Ele é entregue pelo atualizador de firmware da central, se comunica por MQTT e monta uma botnet de proxies residenciais.

Como o malware chega até a central?

Ele viaja junto do atualizador legítimo TWCore, que baixa componentes por MQTT de um broker no domínio cardoor.cn. A infraestrutura adulterada entrega o código malicioso junto do firmware esperado, sem interação do motorista.

O que é MQTT?

É um protocolo leve de mensagens muito usado em dispositivos IoT. Permite que aparelhos troquem mensagens por um servidor intermediário (broker) com pouco consumo de rede, o que o torna comum em hardware embarcado como centrais multimídia.

O que o malware faz com o carro?

Ele transforma a central em um nó de botnet. Por meio dos comandos remotos, exibe anúncios, faz fraude de cliques, executa requisições web e baixa código; o componente baixado é um proxy reverso chamado zhima, que usa o IP do veículo para rotear tráfego de terceiros.

O que é um proxy residencial?

É um intermediário de tráfego que usa um endereço IP doméstico real, como o da central do carro. Criminosos usam esses proxies para esconder a origem de ataques, fraudes e acessos bloqueados, já que o tráfego parece vir de um usuário comum.

Quem está por trás do ataque?

O ataque foi atribuído ao grupo MoYu, ligado à plataforma de fraude BADBOX, conhecida por infectar dispositivos Android baratos ainda na cadeia de fornecimento.

Meu carro pode estar infectado?

Centrais genéricas de baixo custo com firmware adulterado são as mais expostas. Sinais incluem publicidade inesperada, consumo elevado de dados, lentidão e a tela ligando sozinha. Não há relato de vítimas brasileiras confirmadas até o momento.

Como remover o malware da central?

Não há remoção simples pelo usuário, já que o código vive no firmware. O caminho recomendado é restaurar o firmware original do fabricante a partir de um canal oficial e, se o problema persistir, substituir ou isolar a central da rede.

Como evitar que meu carro vire um proxy?

Atualize o firmware apenas por canais oficiais, prefira marcas com histórico de atualização de segurança, monitore o tráfego de rede do veículo e mantenha a central em uma rede separada dos dispositivos sensíveis.

Fontes e leituras adicionais

• CISO Advisor — Malware Android infecta multimídia de veículos — 12/10/2026
• Kaspersky Securelist — Android head unit malware — 10/2026