A crescente digitalização dos automóveis está a abrir novas portas aos cibercriminosos. A Kaspersky revelou ter descoberto uma nova campanha de malware especificamente dirigida a sistemas multimédia de veículos baseados em Android, capaz de explorar os próprios mecanismos de atualização de software para infetar os equipamentos sem que os condutores se apercebam.
Segundo a empresa de cibersegurança, a ameaça, identificada em junho de 2026, permite aos atacantes realizar fraude publicitária, recolher informações dos dispositivos e descarregar outros módulos maliciosos.
A Kaspersky considera que se trata do primeiro caso documentado de infeção de um sistema multimédia automóvel através de uma cadeia concebida especificamente para este tipo de equipamento.
Porque é que os sistemas Android dos carros são um alvo?
Os sistemas multimédia podem vir instalados de fábrica ou ser acrescentados posteriormente, incluindo em automóveis mais antigos. Muitos destes equipamentos utilizam Android, permitindo aos fabricantes personalizar a interface e disponibilizar funcionalidades semelhantes às encontradas noutros dispositivos.
Isso significa, porém, que também podem executar aplicações maliciosas destinadas ao sistema operativo da Google.
Apesar de estes equipamentos não armazenarem habitualmente grandes quantidades de informação pessoal sensível, podem incluir cartões SIM e manter uma ligação permanente à Internet para navegação, serviços online ou atualizações de software.
A superfície de ataque aumenta ainda mais nos automóveis recentes, que dependem cada vez mais de sistemas operativos, aplicações, serviços cloud, conectividade permanente, assistência à condução e atualizações remotas.
Portugal pode ter uma exposição particular
A Kaspersky chama ainda a atenção para o caso português, devido à idade elevada do parque automóvel e à consequente procura por equipamentos multimédia instalados posteriormente.
De acordo com dados da ACAP citados pela empresa, a idade média dos ligeiros de passageiros em Portugal ultrapassou pela primeira vez os 14 anos em 2024. Cerca de 1,6 milhões de veículos — mais de um quarto do parque em circulação — tinham já mais de 20 anos.
É neste mercado que proliferam sistemas multimédia Android aftermarket, vendidos separadamente do automóvel e disponíveis em plataformas de comércio eletrónico. Por valores relativamente baixos, estes equipamentos permitem acrescentar a carros mais antigos ecrãs táteis, GPS, Wi-Fi, Bluetooth ou compatibilidade com Android Auto.
O problema, alerta a Kaspersky, é que estes produtos podem chegar ao consumidor através de cadeias de fornecimento menos transparentes e recorrer a processos de atualização que não estão sob controlo direto dos fabricantes automóveis.
Ataque escondia-se nas atualizações
Na campanha agora descoberta, o malware foi distribuído através dos mecanismos de atualização existentes no firmware de vários modelos de sistemas multimédia Android desenvolvidos pela DoFun.
A Kaspersky diz ter notificado o fabricante sobre a utilização abusiva do sistema. Segundo a DoFun, o problema já foi corrigido.
A origem da cadeia de infeção encontrava-se numa aplicação legítima chamada TWCore, utilizada para recolher dados analíticos e atualizar o software do equipamento. Esta recebia do servidor do fabricante instruções sobre as aplicações que deveriam ser instaladas ou atualizadas.
Os atacantes terão conseguido aproveitar esse canal para distribuir um malware até então desconhecido através de um dropper denominado JarService.
Depois de instalado, o software malicioso não apresentava qualquer interface ao condutor e permanecia a funcionar em segundo plano.
Malware conseguia executar nove comandos
Os investigadores identificaram nove comandos diferentes disponíveis para os atacantes. Entre outras ações, permitiam apresentar publicidade indesejada, realizar fraude publicitária e descarregar módulos maliciosos adicionais.
Os criminosos conseguiam ainda receber dados sobre os equipamentos infetados, entre os quais a resolução do ecrã, o modelo do dispositivo, o identificador da rede Wi-Fi utilizada e o endereço MAC.
A Kaspersky encontrou também indícios que relacionam a campanha com o grupo MoYu, associado à botnet BadBox, através da comparação com ataques anteriores dirigidos a set-top boxes de televisão.
A BadBox é constituída por dispositivos Android comprometidos, incluindo boxes de streaming, smartphones e tablets, utilizados pelos atacantes para fraude publicitária, recolha de dados e encaminhamento de tráfego através de proxies.
“Os agentes maliciosos estão a explorar ativamente novas plataformas”
“Apesar dos esforços dos especialistas em cibersegurança e das autoridades policiais para encerrar a botnet BadBox, indivíduos associados à mesma continuam as suas atividades maliciosas, infetando dispositivos em todo o mundo”, afirma Dmitry Kalinin, investigador de segurança da Kaspersky.
O especialista sublinha que as formas utilizadas para distribuir malware estão a diversificar-se, passando de “portas traseiras pré-instaladas” a aplicações comprometidas e, agora, aos próprios sistemas de atualização.
“Neste caso, observámos um método de distribuição ainda mais sofisticado, que explora a funcionalidade legítima de atualização de software de uma aplicação do sistema”, explica.
Para Kalinin, o episódio mostra que os automóveis passaram definitivamente a integrar o universo de potenciais alvos dos cibercriminosos.
“Este malware é a primeira aplicação maliciosa especificamente dirigida a sistemas multimédia de veículos através de uma cadeia de infeção concebida para estes sistemas”, salienta, concluindo que o caso “serve de alerta para a necessidade urgente de proteger as plataformas automóveis modernas contra malware”.
