autos
Im Juni 2026 haben wir eine ungewöhnliche neue Malware entdeckt, die es auf Auto-Head-Units auf Android-Basis abgesehen hat. Dies ist der erste dokumentierte Fall, in dem Malware über einen automatischen Firmware-Update-Dienst an Head-Units übertragen wurde. Wir haben uns schon oft mit Cybervorfällen im Automobilsektor beschäftigt, aber diese standen im Allgemeinen entweder im Zusammenhang mit Datenlecks in der digitalen Infrastruktur der Hersteller oder mit Experimenten von Sicherheitsforschern.
In diesem Fall handelt es sich jedoch um Malware, die Cyberkriminelle in der Allgemeinheit verbreiten. Ihre Ziele sind Anzeigenbetrug und die Erstellung eines Proxy-Botnets aus infizierten Auto-Head-Units in Fahrzeugen. In diesem Artikel erklären wir, was eine Head-Unit ist, wie genau Angreifer diese Geräte infizieren und was dies für Autofahrer bedeuten kann.
Was ist eine Auto-Head-Unit (HU)?
Lass uns zunächst klären, was eine Auto-Head-Unit eigentlich ist. Der Begriff mag technisch klingen, aber in Wirklichkeit interagieren die meisten Autofahrer jedes Mal damit, wenn sie ihr Fahrzeug benutzen. Eine Head-Unit ist das Infotainment-System des Fahrzeugs, das normalerweise um ein Display herum angeordnet ist und zur Steuerung von Navigation, Musik und anderen Fahrzeugfunktionen verwendet wird. In modernen Autos sind Head-Units oft mit dem Internet verbunden.
Hersteller verwenden Android häufig als Betriebssystem für ihre Head-Units – auch aus Gründen der Einfachheit: Android ist für die Unterstützung von Auto-Head-Units konzipiert und bietet eine Reihe von Vorteilen:
- Umfangreiche Anpassungsmöglichkeiten der Benutzeroberfläche;
- einfache App-Entwicklung;
- die Möglichkeit, eigene System-Apps und -Komponenten hinzuzufügen;
- ein großes bestehendes App-Ökosystem.
Diese Vorteile bergen jedoch auch Risiken, da die betreffenden Apps möglicherweise eher schädlich als seriös sind. Und genau das ist hier passiert: Angreifer haben Autos mithilfe eines Schadprogramms zu einem Teil eines Botnets gemacht. Hier erfährst du, wie das vor sich geht.
Wie infizieren Angreifer Auto-Head-Units und welche Malware verwenden sie?
Zunächst ist anzumerken, dass diese Malware nicht alle Head-Units befällt, sondern in erster Linie solche, die die Software des chinesischen Unternehmens DoFun verwenden. Das Unternehmen entwickelt Firmware, Anwendungen und Cloud-Dienste für Android-basierte Fahrzeug-Infotainment-Systeme und bedient laut seiner Website mehr als 30 Millionen Fahrzeugbesitzer weltweit.
Um die Malware in das Infotainment-System eines Autos einzuschleusen, verwenden die Angreifer TWCore, eine seriöse System-App, die für Software-Updates auf DoFun-Head-Units verantwortlich ist. Unter normalen Umständen erhält TWCore Informationen über Dateien, die heruntergeladen und auf dem Gerät installiert werden müssen, aus der Entwickler-Cloud. Dabei handelt es sich in erster Linie um Updates für Software, die bereits auf der Head-Unit installiert ist, aber der gleiche Mechanismus kann auch verwendet werden, um völlig neue Apps zu installieren. Und genau das machen sich die Angreifer zunutze: Mit TWCore installieren sie JarService – einen schädlichen Viren-Dropper – auf ihren Head-Units.
JarService ist im Wesentlichen eine „leere“ Anwendung. Das heißt, es hat keine Benutzeroberfläche und versucht nicht, sich als seriöser Dienst auszugeben. Das Fehlen einer Schnittstelle ist in diesem Fall durchaus sinnvoll: Die Angreifer müssen den Benutzer nicht dazu bringen, die Malware manuell zu installieren, und es ist keinerlei Benutzerinteraktion erforderlich.
Der JarService-Code enthält in verschlüsselter Form die Nutzdaten der nächsten Stufe sowie Informationen über die Version und den Einstiegspunkt. Die Aufgabe von JarService besteht darin, diese Daten zu entschlüsseln und die nächste Phase der Infektion zu starten: einen schädlichen Downloader. Nach dem Start stellt der Downloader eine Verbindung zum Command-and-Control-Server (C2) des Angreifers her und sendet ihm Informationen über die installierte Malware. Als Antwort stellt der Server einen Link zu den Nutzdaten der nächsten Stufe bereit. Der Downloader ruft die Nutzdaten ab, entschlüsselt sie und führt sie aus.
In diesem Fall installiert die Malware einen sogenannten Klicker – eine Art von Malware, mit der die Zahl der Werbeeinblendungen in betrügerischer Absicht erhöht wird. Nach dem Start kontaktiert die Malware regelmäßig den C2-Server und sendet ihm Informationen über das infizierte Gerät – einschließlich Modell, Bildschirmauflösung, MAC-Adresse und Details des verbundenen WLAN-Netzwerks. Im Gegenzug erhält die Malware verschiedene Befehle von den Angreifern. Sie kann beispielsweise HTTP-Anfragen stellen und Webseiten öffnen. Vor allem aber kann sie zusätzlichen Schadcode herunterladen und auf dem Infotainment-System des unterwanderten Autos ausführen.
Angreifer verwenden diese Funktion, um ein schädliches Modul namens zhima zu installieren, das die infizierte Head-Unit zu einem Botnet hinzufügt. Das resultierende Botnet betreibt einen sogenannten Residential Proxy Service, der es Angreifern ermöglicht, ihren Datenverkehr über infizierte Geräte zu leiten, wenn sie Angriffe oder andere schädlichen Aktivitäten ausführen.
Wer steckt hinter der Malware und was wollen die Angreifer erreichen?
Die Angreifer infizieren Auto-Head-Units mit Malware vor allem, um ihr Botnet zu erweitern. Eine Untersuchung von Kaspersky-Experten hat ergeben, dass der Vorgang mit der schädlichen Plattform BADBOX in Verbindung steht, genauer gesagt mit einem der damit verbundenen Bedrohungsakteure: der MoYu-Gruppe. Hinweise im Code der Malware sowie Überschneidungen mit der Infrastruktur, die zuvor der MoYu-Gruppe zugeschrieben wurde, weisen auf eine Beteiligung der Gruppe hin. BADBOX selbst vereint eine Reihe schädlicher Aktivitäten, die darauf abzielen, Android-Geräte zu infizieren und deren Ressourcen heimlich auszunutzen.
Die Angreifer verdienen dann Geld, indem sie den Zugriff auf Ressourcen, die anderen gehören, zu Geld machen. Bei der Untersuchung der Botnet-Infrastruktur fanden unsere Experten Verbindungen zwischen der MoYu-Gruppe und den Diensten PXYEDGE und ProxyForU, die Proxy-Dienste für Privatkunden anbieten. Diese Dienste ermöglichen es Clients auf der ganzen Welt, ihren Internetverkehr über Geräte zu leiten, die mit dem Botnet verbunden sind, und so auf das Internet über die IP-Adressen dieser Geräte zuzugreifen. Vermutet wird, dass infizierte Auto-Head-Units möglicherweise bereits als Teil dieser Infrastruktur verwendet werden.
Wie wirkt sich die Malware auf die Benutzer aus?
In erster Linie beansprucht die Malware einen Teil der Rechenressourcen der Head-Unit. Die zusätzliche Auslastung kann dazu führen, dass das Infotainment-System des Autos langsamer oder instabiler wird. Gleichzeitig ist es sehr wahrscheinlich, dass sich die Geschwindigkeit der Internetverbindung des infizierten Geräts verringert, da Angreifer möglicherweise erhebliche Datenverkehrsmengen über dieses Gerät leiten.
Es ist auch erwähnenswert, dass die Fähigkeiten der Malware nicht auf die Bereitstellung von Proxy-Funktionen beschränkt sind. Sie kann Befehle von Angreifern empfangen und zusätzlichen Schadcode herunterladen und ausführen. Daher können die Folgen einer Infektion unterschiedlich sein, je nachdem, welche Nutzdaten die Botnet-Betreiber auf dem Gerät installieren möchten.
Fazit
Dieser Fall zeigt einmal mehr, dass Angriffe auf alle Arten von mit dem Internet verbundenen Geräten – von der TV-Box bis zum Infotainment-System im Auto – keine Theorie sind, sondern eine Realität. Da Angreifer ständig nach neuen Geräten suchen, deren Ressourcen sie für ihre Zwecke nutzen können, ist der Schutz vor Malware weit über Computer und Smartphones hinaus wichtig.
Unsere Experten haben den Entwickler über das von ihnen identifizierte Verteilungsschema für Malware informiert, woraufhin sich der Entwickler der gefundenen Sicherheitsprobleme angenommen hat.
Eine vollständige technische Analyse der Malware ist auf Securelist verfügbar.
Mit welchen anderen Methoden können Angreifer ein Auto hacken und welche Risiken bergen sie für den Autofahrer? In unseren Artikeln erfährst du mehr:
Tipps