O seu carro está agora a trabalhar para uma botnet

Um atualizador de firmware transforma-se num loader

O investigador da Kaspersky Dmitry Kalinin documentou a primeira campanha de malware concebida especificamente para sistemas de infotainment automóvel, e a porta de entrada é o canal de atualização em que todo o proprietário confia por defeito. Um componente chamado JarService funciona como loader: abusa do mecanismo de atualização de firmware integrado nos sistemas DoFun, fabricados pela Shenzhen Driving Control Technology, para instalar uma segunda carga no dispositivo. Como a via de distribuição é o próprio processo de atualização do fabricante, a infeção parece manutenção rotineira e não um ataque.

Assim que o JarService se instala, coloca um módulo de proxy e fraude publicitária chamado zhima. A partir desse momento, a unidade deixa de ser apenas um ecrã de infotainment; passa a ser um pequeno computador sempre ligado, a executar código que o proprietário nunca aprovou e que dificilmente conseguiria detetar. A própria ligação à internet do carro, pensada para mapas, streaming e diagnóstico, transforma-se no recurso que está a ser vendido.

O carro continua a andar porque nada crítico para a segurança muda

O malware não chega à direção, aos travões nem a nenhum outro sistema crítico de segurança, e é precisamente essa contenção que torna a campanha tão difícil de notar. Move-se inteiramente dentro da camada de infotainment e conectividade, a parte do carro construída para falar com a internet, correr aplicações e aceitar atualizações. O condutor não vê nenhum aviso aceso, nenhuma resposta de travagem diferente, nenhum motivo de suspeita, porque nada muda na forma como o carro se conduz.

É exatamente isso que torna uma botnet de proxies residenciais atrativa para quem a opera. Uma unidade comprometida que continua a funcionar na perfeição como unidade permanece valiosa enquanto ninguém a notar, e um carro que nunca se comporta de forma insegura não dá ao seu proprietário nenhum motivo para verificar, literalmente ou não, o que a ligação de rede está a fazer em segundo plano.

Os proprietários individuais mal notam, as frotas e os concessionários carregam com o risco

Os proprietários individuais são a parte menos exposta nesta história, porque um único carro comprometido é apenas um nó perdido numa botnet de dimensão desconhecida, e um ecrã de infotainment ligeiramente mais lento é fácil de atribuir a desgaste normal. As frotas e os concessionários carregam com a exposição real, porque a mesma unidade DoFun, com o mesmo firmware, está por trás do painel de cada veículo que recebem desse fornecedor. Uma atualização comprometida transforma cada carro construído nessa plataforma num candidato à mesma infeção, não apenas a unidade que por acaso foi inspecionada.

Um concessionário que verificou o software da unidade apenas uma vez, na entrega, não tem qualquer visibilidade sobre o que mudou na décima, vigésima ou centésima atualização over-the-air desde então. Um operador de frota com centenas de veículos herda o mesmo ponto cego em maior escala: a auditoria que parecia suficiente no primeiro dia nada diz sobre o firmware que está a correr hoje.

A BADBOX já tinha historial antes de ter rodas

A BADBOX não é uma botnet nova inventada para esta campanha; a equipa de investigação Satori da HUMAN Security já tinha exposto a mesma botnet de proxies residenciais noutras classes de dispositivos, incluindo caixas de TV, muito antes de os sistemas de infotainment automóvel se tornarem um dos seus alvos. O padrão é consistente entre classes de dispositivos: o hardware comprometido revende silenciosamente a sua própria ligação à internet como endereço IP residencial, exatamente o tipo pelo qual pagam as operações de fraude publicitária e outros compradores de proxies, porque se parece com tráfego de consumidor comum e não com um servidor de centro de dados.

O que mudou com esta campanha, documentada por volta de 21 e 22 de agosto de 2026, é a classe de dispositivo, não o modelo de negócio. Uma botnet construída com caixas de TV e outra construída com unidades de infotainment de automóveis vendem a mesma coisa: largura de banda e reputação de IP roubadas a dispositivos cujos proprietários continuam a acreditar que trabalham só para eles.

A solução está em auditar a cadeia de atualizações, não o stand do concessionário

A cadeia de atualizações do fornecedor, e não o carro parado no stand do concessionário, é onde esta campanha realmente vive, porque o JarService entrou através do próprio mecanismo de atualização da DoFun, e não através de nenhuma ação do condutor ou do concessionário. Auditar o software da unidade apenas uma vez, no ponto de venda, verifica uma fotografia que já fica desatualizada assim que chega a primeira atualização over-the-air. Quem compromete o canal de atualização do fornecedor obtém uma presença persistente em cada veículo a jusante, em silêncio, e voltar a verificar o dispositivo depois da entrega não fecha esse canal.

A lição vai além desta única campanha: qualquer frota ou concessionário que trate o software do veículo como uma inspeção de segurança única está a confiar numa cadeia de fornecimento que nunca verificou realmente. A solução não é uma melhor verificação do carro no stand; é a auditoria contínua da própria cadeia de atualizações, a cada envio, enquanto o veículo permanecer ligado.

Leia a seguir: O sucesso da Apple fez explodir o seu plano de fornecimento  |  Uma aplicação Pac-Man pôs estranhos na sua rede