Em 21 de agosto de 2026, o "Laboratório Kaspersky" publicou uma análise do primeiro malware documentado para dispositivos de cabeça automotivos com Android. O rádio infectado não rouba músicas nem monitora rotas — ele se transforma em um nó de um pool de proxies residenciais e em um clicker para fraudes publicitárias. O mais importante nesta história não é o carro em si, mas a forma de entrega: os criminosos não convenceram o fabricante a embutir um SDK, mas interceptaram seu próprio mecanismo de atualização de firmware.
O que exatamente foi encontrado
A campanha foi descoberta em junho de 2026, e o relatório público foi divulgado em 21 de agosto. O alvo são os dispositivos de cabeça com firmware da empresa chinesa DoFun (Shenzhen Driving Control Technology Co., Ltd), que são rádios aftermarket, substituindo o rádio original do carro. Kaspersky relaciona a operação com alta confiança ao grupo MoYu, que já havia aparecido na história do botnet BADBOX — uma plataforma que tinha backdoors pré-instalados em seus firmwares, conforme reportado pela HUMAN Security em 2023.
A cadeia de infecção é a seguinte:
- Ponto de entrada — aplicativo de sistema legítimo TWCore, que em dispositivos DoFun é responsável pela análise e atualizações. Ele recebe comandos através de um broker MQTT no domínio cardoor[.]cn, e no protocolo há uma flag installNotExists — permissão para instalar um aplicativo que ainda não está no dispositivo.
- Primeira fase — dropper JarService sem interface. A carga útil dentro é criptografada com XOR usando uma chave de deslocamento linear de um byte.
- Segunda fase — loader: envia informações sobre o dispositivo para o servidor de controle via requisição POST e recebe links para a próxima etapa.
- Terceira fase — clicker e loader de reverse proxy: conecta-se ao C2 a cada 90 minutos, suporta nove tipos de comandos (entre eles http, web, loadlib2, deeplink) e puxa o módulo zhima.
O módulo zhima é a essência da operação: ele abre uma conexão reversa para os servidores de controle (o relatório menciona endereços como 107.151.248[.]132 e 128.14.210[.]58, nas portas 1337, 7777, 8888, 15000) e transforma o dispositivo em um nó proxy. Os dispositivos de cabeça se encaixam quase perfeitamente nesse papel: muitos têm um slot para SIM card e conexão constante à internet — necessária para navegação e as tão mencionadas atualizações.
Por que isso é um nível diferente, e não "apenas mais um botnet"
Até agora, a narrativa em massa sobre a origem dos IPs residenciais "cinzas" era a seguinte: o fabricante de um dispositivo barato ou o desenvolvedor de um aplicativo gratuito intencionalmente embute um SDK de monetização e recebe dinheiro por isso, enquanto o usuário concorda com um EULA não lido. O Google, em seu relatório sobre a desativação da rede NetNut, formula dois canais pelos quais dispositivos domésticos entram em redes proxy: o malware é pré-instalado antes da compra ou o usuário baixa o aplicativo com código proxy oculto.
O caso DoFun não se encaixa em nenhum deles. Aqui, o fornecedor não está envolvido e não está ciente: seu canal de entrega de atualizações confiável foi comprometido. Kaspersky notificou a empresa, que, segundo os pesquisadores, resolveu o problema. Mas a conclusão prática para o mercado é desagradável: a verificação da origem do pool pelo princípio "mostre os contratos com os parceiros e o texto do consentimento" deixa de ser suficiente. O nó pode ser obtido sem a participação de quem fabricou o dispositivo.
Um segundo ponto importante — a amarração comercial. Os pesquisadores encontraram um painel de administração no domínio admin.uipoxy[.]com com registro por códigos de convite. Ou seja, não é "botnet por botnet", mas uma vitrine funcional, onde o tráfego através de dispositivos infectados é vendido para alguém. Paralelamente, especialistas da Nokia Deepfield descobriram independentemente o mesmo módulo zhima em set-top boxes. Em outras palavras, um pool está sendo formado a partir de diferentes classes de dispositivos — set-top boxes e rádios.
A escala das operações vizinhas dá uma ideia do porquê disso. Em 2 de julho de 2026, o Google, em conjunto com o FBI, IRS-CI e Lumen, desligou a rede NetNut: segundo estimativas do Google, mais de 2 milhões de dispositivos sequestrados. Apenas na primeira semana de junho, a telemetria GTIG registrou 316 clusters de atividade distintos, saindo através de supostos nós da NetNut — desde cibercrime até grupos envolvidos em espionagem. Analisamos a mecânica desse mercado separadamente, em um material sobre a economia do pool residencial.
Por que o mercado tolera isso
A resposta é simples — preço. Segundo uma pesquisa da Proxyway para 2026, apenas entre o início de 2025 e março de 2026, surgiram pelo menos 56 novos fornecedores de proxies no mercado, e a maioria dos novos serviços residenciais é white label sobre infraestrutura de terceiros; uma parte significativa é promovida não através de busca, mas por fóruns como o BlackHatWorld. No segmento inferior, um gigabyte de tráfego residencial custa 0,30 dólares ou menos — esse preço é fisicamente inatingível se o pool for formado através de pagamentos a parceiros e contratos com operadores. Essas ofertas estão pressionando o preço de todo o mercado para baixo.
O nível superior, por outro lado, está crescendo: a Bright Data relatou um crescimento anual de 50% e uma receita anual de cerca de 300 milhões de dólares, a NetNut, até sua liquidação em julho, mostrava +28%, e os outros participantes do mercado variavam de 30% a dobrar ano a ano. Ou seja, a demanda por dados e acesso está crescendo mais rápido do que a oferta legal de nós — e a lacuna é preenchida por histórias como a do zhima em rádios.
O que isso significa para quem compra proxies
A tentação de ignorar é compreensível: "eu não sou o proprietário de um rádio chinês, isso não me diz respeito". Diz respeito — mas do outro lado do balcão. Se seu provedor compra tráfego no nível inferior do mercado, você pode estar operando através de exatamente esses nós. As consequências são bastante cotidianas:
- Vizinhança por IP. Através do mesmo nó, no mesmo horário, pode haver click fraud, tentativas de quebra de senhas ou varreduras. As plataformas antifraude não veem você, mas a reputação total do endereço — e encerram a sessão antes que você consiga fazer algo.
- Listas de bloqueio. Após a publicação de relatórios e operações de takedown, os intervalos e endereços específicos rapidamente se espalham por bancos de dados de reputação. Um IP "limpo" comprado ontem pode hoje estar nas listas.
- Instabilidade do nó. Um rádio não é um roteador doméstico. O carro se move, o dispositivo alterna entre células, mudam ASN e geolocalização; à noite, o carro fica parado com a ignição desligada, e o nó simplesmente desaparece no meio da sua sessão. Para tarefas longas, como autenticação ou trabalho com carrinhos de compras, isso garante interrupções.
- Risco jurídico e de reputação. O tráfego passando por um dispositivo claramente comprometido é uma posição ruim em qualquer disputa, especialmente se seu contratante prometeu "consentimentos éticos dos usuários".
Como agora verificar o pool
As perguntas para o fornecedor devem ser reformuladas. Antes, bastava "de onde vem o IP" — agora é mais importante como é feito o controle ao longo da vida do nó:
- Qual é o modelo de obtenção do nó. Rede própria de parceiros com pagamentos e opt-in explícito, aluguel de um operador, contrato com ISP — ou compra "por atacado" de um upstream não nomeado. A recusa em nomear o nível do upstream é, por si só, uma resposta.
- Há monitoramento contínuo da reputação. Não basta verificar o nó uma vez: um endereço limpo na entrada pode se deteriorar em semanas. Pergunte com que frequência e por quais fontes o pool é reavaliado e o que acontece com um endereço que entra na lista de bloqueio.
- O que fazem durante uma operação de takedown. Após a história de julho com a NetNut, o mercado foi reconfigurado. Um operador honesto tem uma resposta clara sobre como substitui os segmentos que saem, e não silêncio e qualidade em queda.
- Verifique você mesmo. Antes de uma tarefa séria, passe os endereços fornecidos por bancos de dados de reputação — como fazer isso está detalhado no guia sobre verificação de IP em listas de bloqueio. Além disso, um teste comportamental simples: se um endereço "residencial" muda de ASN e cidade em meia hora, não é um apartamento.
Orientação prática: para tarefas onde a previsibilidade da sessão é importante, é mais sensato optar por proxies residenciais com origem transparente do pool, e onde é necessário um operador móvel — proxies móveis com um conjunto claro de redes, e não um SIM card aleatório em um carro de outra pessoa.
Se você tem um rádio Android ou set-top box
Uma parte separada do público — os proprietários desses dispositivos. Não existe um "antivírus universal para rádios", mas há um mínimo que pode ser feito:
- Verifique se o firmware está atualizado: a DoFun, segundo dados da Kaspersky, corrigiu a vulnerabilidade, então a atualização faz sentido.
- Não forneça ao dispositivo acesso constante à internet, se não for necessário: sem rede, o nó é inútil. Muitos rádios aftermarket precisam de conexão à rede apenas ocasionalmente.
- Monitore o tráfego no roteador ou pelo SIM card: um fluxo de saída constante de um dispositivo que "apenas toca música" é um sinal direto. O mesmo se aplica a set-top boxes com firmwares não oficiais.
- Não instale compilações não oficiais e clientes de lojas de terceiros: na história da NetNut, esse canal foi responsável por uma parte significativa dos nós.
Conclusão
A história com a DoFun é interessante não pela quantidade de carros infectados — ninguém a nomeou até agora, e provavelmente não é grande. O que é interessante é o precedente: para formar um pool residencial, não é mais necessário negociar com o fabricante do dispositivo. Basta capturar seu atualizador. Isso significa que o nível inferior do mercado de proxies continuará a ser preenchido com nós, dos quais nem o proprietário do dispositivo nem seu fornecedor têm conhecimento — com todas as consequências para aqueles que operam através deles. A diferença entre um gigabyte barato e um previsível está exatamente nisso.
```