A Kaspersky identificou o primeiro caso documentado de malware criado especificamente para infetar centrais multimédia automóveis baseadas em Android. A ameaça aproveitava o próprio sistema de atualização do equipamento para entrar no dispositivo sem o conhecimento do utilizador.
É importante fazer uma distinção: não se trata de um ataque à aplicação Android Auto da Google, utilizada para projetar funcionalidades do telemóvel no ecrã do carro. O malware afeta as chamadas head units, as centrais multimédia que executam Android diretamente e podem controlar entretenimento e algumas funções do veículo.
Conforme reportou o site The Hacker News, o objetivo dos atacantes é utilizar estes equipamentos para fraude publicitária e criar uma rede de dispositivos infetados, conhecida como botnet.
Malware chega através das próprias atualizações
O caso torna-se particularmente preocupante pela forma como a infeção acontecia. As centrais multimédia afetadas, produzidas com tecnologia da DoFun, possuíam uma aplicação legítima chamada TWCore, responsável por recolher dados analíticos e instalar atualizações de software.
Como explica o relatório da Kaspersky, os atacantes conseguiram aproveitar este mecanismo para distribuir o malware como se fosse uma atualização normal. Ou seja, o utilizador não precisava de descarregar uma aplicação suspeita ou clicar num link malicioso.
Depois de instalado, o malware não apresenta ícone ou interface. Funciona escondido em segundo plano, descarregando progressivamente outros componentes maliciosos a partir dos servidores controlados pelos atacantes.
A DoFun foi notificada durante a investigação e informou a Kaspersky que as vulnerabilidades utilizadas neste processo já foram corrigidas.
Porque é que esta ameaça é perigosa?
O malware consegue comunicar periodicamente com os servidores dos criminosos e receber novas instruções. Entre as possibilidades identificadas estão mostrar anúncios indesejados, realizar fraude publicitária e descarregar e executar outros códigos maliciosos.
Também consegue recolher algumas informações sobre o equipamento, como modelo da central, resolução do ecrã, rede Wi-Fi utilizada e endereço MAC (identificador associado à ligação de rede).
Mas um dos principais objetivos descobertos pela Kaspersky é transformar a central multimédia num proxy.
De forma simples, isto significa que a ligação à Internet do equipamento infetado pode ser utilizada como intermediária para tráfego controlado por terceiros. Ao comprometer milhares de equipamentos, os atacantes conseguem formar uma botnet, ou seja, uma rede de dispositivos controlados remotamente sem o conhecimento dos proprietários.
Neste caso, os investigadores encontraram o módulo malicioso Zhima, associado precisamente à criação deste tipo de rede.
A Kaspersky atribui a campanha, com elevado grau de confiança, ao MoYu Group, grupo anteriormente associado à botnet BADBOX.
Centrais multimédia tornam-se um novo alvo
As centrais Android tornam-se particularmente interessantes para este tipo de ataque porque muitas possuem cartão SIM e ligação própria à Internet, utilizada para navegação, serviços online e atualizações, como explica o relatório.
Ao contrário de um smartphone, estes equipamentos normalmente não armazenam aplicações bancárias ou grandes quantidades de dados pessoais. Por isso, os criminosos podem encontrar mais valor em utilizar silenciosamente a ligação e os recursos do dispositivo para outras atividades maliciosas.
A Kaspersky encontrou unidades infetadas em vários países, mas não conseguiu determinar quantas centrais foram realmente comprometidas.
Para os investigadores, o caso funciona como um alerta para uma nova frente de ataques. À medida que os automóveis recebem sistemas cada vez mais conectados, as centrais multimédia também passam a precisar de proteções contra malware semelhantes às utilizadas noutros dispositivos Android.
-
17.91 € Amazon25.99 € -31% -
39.99 € Amazon59.99 € -33% -
13.99 € Amazon16.99 € -18% -
39.99 € Amazon45.99 € -13%
