Cibercriminosos atacam sistemas de multimédia dos carros

O cibercrime também pode ter os automóveis como alvo. É o que mostra uma nova campanha de malware que afeta os sistemas multimédia com base Android que equipam viaturas de várias marcas – aproveitando as suas vulnerabilidades e acesso à internet.

Foi o que descobriu a especialista em segurança informática Kaspersky, que explicou em comunicado o que está em causa: “A ameaça explora mecanismos legítimos de atualização de software para infetar os dispositivos de forma discreta“.

Se o utilizador instalar essa atualização, os criminosos podem praticar “fraude publicitária, recolher informação dos dispositivos e descarregar módulos maliciosos“.

Diz a mesma empresa que “os principais vetores de ataque nesses ecossistemas englobam o acesso físico não autorizado e a exploração de vulnerabilidades no sistema operativo ou em módulos específicos da central”.

Fala do “primeiro caso documentado de infeção de um sistema multimédia automóvel através de uma cadeia de infeção especificamente concebida para estes sistemas”.

Os atacantes podem estar ligados ao grupo MoYu, “um agente de ameaça estreitamente ligado à conhecida botnet BadBox”, esclarece a Kaspersky. A BadBox é “uma rede de grande escala constituída por dispositivos Android comprometidos […] que chegam aos utilizadores já infetados com malware de fábrica”.

Atenção aos acessórios à parte

Para além dos sistemas de origem, há a possibilidade de equipar um carro com acessórios à parte à venda quer em lojas físicas, quer online. O que ganha especial relevância em Portugal, segundo a Kaspersky, pelo envelhecimento do parque automóvel.

Acontece que estes dispositivos são mais suscetíveis, uma vez que as atualizações não estão sob controlo direto das marcas automóveis.

De referir que os sistemas de multimédia (ou de infoentretenimento) de origem nos automóveis costumam congregar configurações da viatura, navegação, reprodução multimédia, conectividade com smartphones e até funções de controlo do automóvel. Habitualmente, estão ligados à internet de forma permanente – ou seja, apesar de o poder parecer, o ambiente automóvel não é estanque.

Em muitos modelos, o sistema com base Android tem aplicações convencionais, com as mesmas vulnerabilidades e suscetibilidades das que se podem instalar em qualquer outro dispositivo. No entanto, os sistemas automóveis raramente armazenam informação pessoal sensível.

Como atuava a infeção?

Na mesma nota, pode ler-se que o malware em causa foi distribuído em atualizações dos sistemas desenvolvidos pela DoFun, que já foi notificada pela Kaspersky sobre o problema e garantiu ter corrigido a situação.

A origem da cadeia de infeção está numa aplicação legítima (TWCore), que recolhe dados analíticos e encarrega-se da atualização do sistema. Para tal, “recebia instruções do servidor do fabricante com indicações sobre quais as aplicações que deveriam ser instaladas ou atualizadas nos sistemas”.

Foi este o caminho que os atacantes usaram para distribuir um malware antes desconhecido (JarService), num processo de infeção com várias etapas para passar despercebido. Começava com uma aplicação normal sem interface de utilizador, com funcionamento em segundo plano.

Foram implementados “nove comandos distintos”, com capacidades de “apresentar anúncios indesejados, executar fraude publicitária e descarregar módulos maliciosos adicionais”.

Mais: os cibercriminosos também podiam consultar informações sensíveis como o modelo do dispositivo e até identificações da rede à qual o sistema multimédia estava ligado.

Ao fim e ao cabo, de forma invisível aos utilizadores do automóvel, eram usados recursos (como dados móveis) e gerados cliques fraudulentos em anúncios. Tudo isto se passava em “pano de fundo” do ecrã multimédia do carro.

Atividade criminosa continua

Dmitry Kalinin, investigador de segurança da Kaspersky, alertou: “Apesar dos esforços dos especialistas em cibersegurança e das autoridades policiais para encerrar a botnet BadBox, indivíduos associados à mesma continuam as suas atividades maliciosas, infetando dispositivos em todo o mundo“.