A Kaspersky revelou ter descoberto, em junho de 2026, a primeira campanha de malware documentada especificamente dirigida a sistemas multimédia de automóveis baseados em Android. O ataque explorava o próprio mecanismo de atualização do sistema para instalar o malware JarService, sem qualquer intervenção do condutor. A infeção ocorria através de uma aplicação legítima chamada TWCore, utilizada para gerir atualizações em unidades multimédia com software da empresa chinesa DoFun.
O malware permanecia completamente discreto, sem apresentar interface visível ou exigir autorização do utilizador. Depois de instalado, o JarService estabelecia comunicação com servidores controlados pelos cibercriminosos e podia descarregar componentes adicionais. Os atacantes conseguiam recolher informações do equipamento infetado, incluindo modelo, resolução do ecrã, endereço MAC e dados da rede Wi-Fi, além de poderem gerar cliques fraudulentos em anúncios para produzir receitas ilegais.
Os investigadores descobriram ainda que os atacantes podiam instalar um módulo chamado "zhima", transformando o sistema multimédia do carro em parte de uma botnet. Esta rede permitia utilizar os recursos do equipamento, incluindo a ligação à internet, para encaminhar tráfego de terceiros sem conhecimento do proprietário. A Kaspersky identificou nove comandos disponíveis aos cibercriminosos, incluindo fraude publicitária e download de módulos maliciosos adicionais.
A campanha foi associada ao grupo MoYu, ligado à operação criminosa BadBox, que já tinha comprometido boxes de televisão, smartphones e tablets. Depois de informada pela Kaspersky, a DoFun indicou que o problema foi corrigido. No entanto, a empresa de cibersegurança alerta que os sistemas multimédia automóveis devem ser tratados como dispositivos ligados à internet, expostos a riscos semelhantes aos de outros aparelhos Android, e recomenda que as atualizações sejam instaladas apenas através de mecanismos oficiais dos fabricantes.
