Os vírus informáticos deixaram há muito de ser um problema exclusivo de computadores e telemóveis. Agora, até o sistema multimédia instalado no tablier de um automóvel pode transformar-se num alvo para os cibercriminosos. A Kaspersky, empresa russa que desenvolve e comercializa antivírus, revelou ter descoberto, em junho, uma nova campanha de malware dirigida especificamente a sistemas multimédia automóveis baseados em Android. Segundo a empresa de cibersegurança, trata-se do primeiro caso documentado de uma cadeia de infeção criada especificamente para este tipo de equipamento e distribuída através do próprio mecanismo de atualização do sistema.
O ataque podia decorrer praticamente sem intervenção do automobilista. O malware era instalado através de um processo normalmente utilizado para receber atualizações e permanecia a funcionar em segundo plano, sem apresentar uma interface que denunciasse a sua presença.
Malware chegava ao carro através de uma atualização
O método utilizado pelos atacantes torna o caso particularmente relevante. A infeção foi detetada em vários modelos de unidades multimédia Android que utilizavam software desenvolvido pela empresa chinesa DoFun. Nestes equipamentos existia uma aplicação legítima chamada TWCore, utilizada para recolher dados analíticos e gerir as atualizações do sistema. Normalmente, esta aplicação contactava os servidores responsáveis pelo software para perceber quais as aplicações que deveriam ser instaladas ou atualizadas.
Foi precisamente esse canal que os atacantes conseguiram aproveitar. Em vez de servir apenas para entregar software legítimo, o mecanismo passou a ser utilizado para instalar nos equipamentos uma aplicação maliciosa chamada JarService.
Condutor podia não perceber que o carro estava infetado
Uma das características do JarService era precisamente a sua discrição. A aplicação não tinha uma interface visível para o utilizador e não precisava que o condutor carregasse num botão, abrisse uma aplicação suspeita ou autorizasse manualmente a instalação do malware.
Segundo a Kaspersky, não era necessária qualquer interação do utilizador para que a cadeia de infeção avançasse. Depois de instalado, o JarService iniciava várias etapas adicionais da infeção e estabelecia comunicação com servidores controlados pelos atacantes. O sistema podia então descarregar e executar novos componentes maliciosos.
O que podiam fazer os cibercriminosos?
A Kaspersky identificou nove comandos diferentes disponíveis aos atacantes. Entre as capacidades encontradas estavam a apresentação de publicidade indesejada, a realização de fraude publicitária e o download de módulos maliciosos adicionais.
O malware conseguia igualmente recolher determinadas informações sobre o equipamento infetado, incluindo o modelo do dispositivo, a resolução do ecrã, o endereço MAC e dados relativos à rede Wi-Fi utilizada pelo sistema multimédia. Um dos componentes instalados funcionava como um chamado «clicker», permitindo gerar artificialmente visualizações e cliques em anúncios para produzir receitas fraudulentas. Tudo isto podia acontecer em segundo plano enquanto o condutor utilizava normalmente o automóvel.
Carro podia até passar a fazer parte de uma botnet
O objetivo ia além da simples apresentação de anúncios. Os investigadores descobriram que os atacantes podiam instalar um módulo chamado «zhima», através do qual a unidade multimédia do automóvel passava a integrar uma botnet. Uma botnet é uma rede constituída por dispositivos infetados que podem ser utilizados remotamente por terceiros sem que os respetivos proprietários tenham conhecimento.
No caso analisado, os sistemas multimédia comprometidos podiam ser utilizados como parte de serviços de proxy residencial, permitindo que tráfego de internet de terceiros fosse encaminhado através desses equipamentos. Na prática, recursos pertencentes ao automobilista, incluindo a ligação à internet do sistema, podiam ser utilizados em atividades externas sem que este percebesse.
Grupo ligado à BadBox pode estar por detrás do ataque
A análise da Kaspersky encontrou ligações entre esta campanha e o grupo MoYu. Este agente é associado à BadBox, uma conhecida operação criminosa que tem recorrido a equipamentos Android comprometidos para criar grandes redes de dispositivos infetados. A BadBox já foi relacionada com equipamentos como boxes de televisão, smartphones e tablets comprometidos com malware.
Os cibercriminosos aproveitam posteriormente os recursos destes equipamentos para fraude publicitária, recolha de informação e encaminhamento de tráfego através das ligações à internet das vítimas. A novidade agora identificada está no tipo de dispositivo utilizado: o sistema multimédia do próprio automóvel.
Nem todos os carros com Android estão em risco
A descoberta não significa, contudo, que qualquer automóvel equipado com Android esteja vulnerável a este ataque. A Kaspersky esclarece que o malware analisado afetava especificamente unidades que utilizavam software desenvolvido pela DoFun. A empresa disponibiliza firmware, aplicações e serviços na cloud para sistemas multimédia automóveis Android.
Depois de ser informada pela Kaspersky sobre a utilização abusiva do seu sistema de distribuição de software, a DoFun indicou que o problema tinha sido corrigido. O caso serve, ainda assim, para demonstrar que estes equipamentos devem ser encarados como dispositivos ligados à internet e, por isso, sujeitos a riscos semelhantes aos existentes noutros aparelhos Android.
Sistemas comprados à parte também merecem atenção
Os sistemas multimédia não são necessariamente instalados de fábrica pelas marcas automóveis. Existem inúmeras unidades Android que podem ser compradas posteriormente e utilizadas para substituir rádios e sistemas mais antigos, acrescentando funcionalidades como navegação, aplicações, reprodução multimédia ou ligação ao smartphone. Este tipo de equipamento pode ter fabricantes, versões de Android e políticas de atualização muito diferentes entre si. Por isso, é particularmente importante instalar atualizações apenas através dos mecanismos oficiais disponibilizados pelo fabricante, evitar aplicações provenientes de fontes desconhecidas e verificar se o equipamento continua a receber atualizações de segurança.
O ecrã do carro é cada vez mais parecido com um computador
Os modernos sistemas de infoentretenimento podem concentrar cada vez mais funcionalidades. Para além de música, navegação e chamadas telefónicas, alguns permitem alterar configurações do veículo e controlar determinadas funções do automóvel. Muitos estão também permanentemente ligados à internet através de Wi-Fi ou de uma ligação móvel própria. Segundo a Kaspersky, é precisamente esta combinação entre sistema operativo Android, aplicações, ligação permanente à internet e mecanismos de atualização que torna estes equipamentos uma nova superfície de ataque para os cibercriminosos. Dmitry Kalinin, investigador de segurança da empresa, considera que o caso demonstra que os atacantes estão a procurar novas plataformas e defende que os sistemas automóveis modernos precisam de proteção mais robusta contra malware. A descoberta mostra, assim, que a cibersegurança de um automóvel moderno já não passa apenas por proteger a chave ou impedir o roubo físico da viatura. O próprio computador instalado no tablier pode transformar-se numa porta de entrada para atividades maliciosas sem que o condutor tenha consciência do que está a acontecer.
Leia também: Transporta isto no carro? Prepare-se para multas superiores a 1.500€ e outras consequências graves
