Alguém pôs malware num auto-rádio, e está a alugar a ligação

Na sexta-feira a Kaspersky publicou algo que nunca antes tinha sido registado: malware a viver no ecrã Android encaixado no tablier de um carro. Não uma demonstração de laboratório nem um número de conferência. Auto-rádios reais, infetados no terreno, a telefonar para casa.

Os aparelhos correm firmware da DoFun, um fornecedor chinês cujo software está dentro de muitos ecrãs de tablier montados depois da compra do carro. Esse firmware inclui uma aplicação de sistema chamada TWCore que trata das estatísticas e das atualizações. Recebe ordens de um intermediário de mensagens em cardoor.cn, que lhe diz exatamente que ficheiros APK descarregar e instalar - e alguém entrou nesse canal. O que desceu foi um instalador discreto chamado JarService, sem qualquer interface, depois um carregador, depois um módulo chamado zhima.

O zhima é um proxy inverso. Não toca no carro; a Kaspersky é explícita: o malware "não interfere com a condução nem com os sistemas críticos de controlo do veículo". O que faz é transformar o auto-rádio num ponto de saída para o tráfego de internet de outra pessoa, com fraude de cliques em anúncios invisíveis a correr em paralelo. Alguém compra esse tráfego como "proxy residencial", e ele sai do seu carro. O mesmo módulo zhima já tinha sido visto em caixas de televisão Android baratas, entregue por aplicações de IPTV, e a Kaspersky liga a operação ao grupo MoYu que está por trás da rede BADBOX. A infeção foi encontrada em junho; a DoFun já corrigiu a forma como essas atualizações são distribuídas.

Ninguém clicou em nada, e é essa a lição a levar para casa. O aparelho Android barato do carro, a pen de streaming atrás da televisão, a caixa que passa canais - cada um recebe o firmware de quem o construiu, e essa passagem nunca se vê. Se tem um, atualize-o. E a análise de rede do Tendvane mostra-lhe pelo menos todos os dispositivos que estão neste momento no seu Wi-Fi de casa, uma lista que costuma ser mais longa do que as pessoas esperam.