Malware missbraucht den Update-Mechanismus der legitimen System-App
Kaspersky-Experten haben eine neuartige Android-Malware entdeckt, die Fahrzeug-Headunits des Herstellers DoFun angreift [1]. Die Cyberkriminellen hinter der Malware missbrauchten den Update-Mechanismus der legitimen System-App TWCore, um unbemerkt Schadsoftware auf Android-basierte Autoradios zu übertragen, unerwünschte Werbung einzublenden und weitere Schadmodule herunterzuladen. Die Analyse zeigt Verbindungen zur MoYu-Gruppe, der das BadBox-Botnetz zugeschrieben wird. Der Hersteller hat das Problem inzwischen behoben.
Im Juni 2026 entdeckten Experten von Kaspersky eine neuartige Android-Malware, die Fahrzeug-Headunits angreift. Diese Systeme vereinen Multimediafunktionen und teilweise auch Funktionen zur Fahrzeugsteuerung. Sie können sowohl werkseitig installiert als auch in älteren Fahrzeugen nachgerüstet werden. Viele Headunit-Hersteller setzen auf das Android-Betriebssystem, da sich damit Nutzeroberflächen flexibel anpassen und wichtige Systemkomponenten integrieren lassen. Dadurch können auf diesen Geräten jedoch nicht nur die meisten herkömmlichen Android-Apps, sondern auch Android-Malware ausgeführt werden. Zwar speichern Headunits nur selten sensible persönliche Daten, sie verfügen jedoch häufig über SIM-Kartensteckplätze und einen permanenten Internetzugang für Navigation und Software-Updates, was sie zu einem potenziellen Ziel für Angreifer macht.
Die entdeckte Schadsoftware wurde über die Update-Mechanismen verbreitet, die in die Firmware verschiedener Android-basierter Autoradios des Herstellers DoFun integriert sind. Ausgangspunkt der Infektionskette war die legitime System-App TWCore, die Analysedaten erfasst und die Software der Autoradios aktualisiert. Vom Server des Herstellers erhielt TWCore Anweisungen dazu, welche Apps installiert oder aktualisiert werden sollten. Angreifer missbrauchten sie, um mithilfe des Droppers JarService eine zuvor unbekannte Schadsoftware direkt auf die Autoradios zu übertragen.
Der komplexe, mehrstufige Infektionsprozess war darauf ausgelegt, möglichst unentdeckt zu bleiben. Die Malware installierte sich als gewöhnliche Nutzeranwendung, verfügte jedoch über keine Nutzeroberfläche und lief unbemerkt im Hintergrund. Die Angreifer implementierten dabei neun verschiedene Befehle, mit denen sie unerwünschte Werbung einblenden, Werbebetrug begehen und zusätzliche Schadmodule herunterladen konnten. Darüber hinaus erfassten sie Geräteinformationen wie die Bildschirmauflösung, das Gerätemodell, die WLAN-Netzwerkkennung und die MAC-Adresse.
Verbindungen zur MoYu-Gruppe
Bei der Analyse entdeckte Kaspersky Verbindungen zwischen dieser Kampagne und der MoYu-Gruppe, die mit dem BadBox-Botnetz in Verbindung gebracht wird. Die Hinweise ergaben sich aus einem Vergleich mit früheren Angriffen auf TV-Receiver. Darüber hinaus weist das Administrationspanel des Botnetzes Ähnlichkeiten mit den Websites der Residential-Proxy-Dienste PXYEDGE und ProxyForU auf. Dazu zählen beispielsweise eingebettete URLs im Quellcode der Webseiten. Bei BadBox handelt es sich um ein groß angelegtes Botnetz aus gekaperten Android-Geräten, darunter Streaming-TV-Boxen, Smartphones und Tablets, die bereits ab Werk mit Schadsoftware infiziert sind. Angreifer nutzen die versteckten Backdoors, um Werbebetrug zu begehen, Daten zu stehlen und Heimnetzwerke als Relais für illegalen Proxy-Datenverkehr zu missbrauchen.
„Trotz der Bemühungen von Cybersicherheitsexperten und Strafverfolgungsbehörden, das BadBox-Botnetz zu zerschlagen, setzen einzelne damit in Verbindung stehende Akteure ihre schädlichen Aktivitäten fort und infizieren weltweit Geräte“, erklärt Dmitry Kalinin, Sicherheitsexperte bei Kaspersky. „Die Verbreitungsmethoden solcher Schadsoftware werden immer vielfältiger – von vorinstallierten Backdoors bis hin zu manipulierten IPTV-Anwendungen. Im untersuchten Fall beobachteten wir eine noch raffiniertere Methode, bei der die legitime Software-Update-Funktion einer System-App missbraucht wurde. Cyberkriminelle erschließen aktiv neue Plattformen. Diese Malware ist die erste, die zielgerichtet Autoradios angreift und dafür eine speziell auf diese Fahrzeugsysteme zugeschnittene Infektionskette nutzt. Das verdeutlicht, dass moderne Fahrzeugplattformen dringend einen robusten Schutz vor Schadsoftware benötigen.“
Kaspersky informierte DoFun über die entdeckte Malware, nach dessen Angaben wurde das Problem inzwischen behoben.
1] https://securelist.com/android-head-unit-malware/121106/
Nützliche Links:
- Kaspersky-Analyse zur Malware: https://securelist.com/android-head-unit-malware/121106/
