{"id":33832,"date":"2026-08-27T12:31:09","date_gmt":"2026-08-27T10:31:09","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33832"},"modified":"2026-08-27T12:31:09","modified_gmt":"2026-08-27T10:31:09","slug":"car-botnet-malware-for-head-units-with-android","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/car-botnet-malware-for-head-units-with-android\/33832\/","title":{"rendered":"Botnet auf der Stra\u00dfe: Der erste Trojaner f\u00fcr Auto-Head-Units"},"content":{"rendered":"<p>Im Juni 2026 haben wir eine ungew\u00f6hnliche neue Malware entdeckt, die es auf Auto-Head-Units auf Android-Basis abgesehen hat. Dies ist der erste dokumentierte Fall, in dem Malware \u00fcber einen automatischen Firmware-Update-Dienst an Head-Units \u00fcbertragen wurde. Wir haben uns schon oft mit <a href=\"https:\/\/www.kaspersky.de\/blog\/tag\/autos\/\" target=\"_blank\" rel=\"noopener\">Cybervorf\u00e4llen im Automobilsektor<\/a> besch\u00e4ftigt, aber diese standen im Allgemeinen entweder im Zusammenhang mit Datenlecks in der <a href=\"https:\/\/www.kaspersky.de\/blog\/tracking-and-hacking-kia-cars-via-internet\/31742\/\" target=\"_blank\" rel=\"noopener\">digitalen Infrastruktur<\/a> der Hersteller oder mit <a href=\"https:\/\/www.kaspersky.de\/blog\/perfektblue-bluetooth-car-hack\/32596\/\" target=\"_blank\" rel=\"noopener\">Experimenten<\/a> von Sicherheitsforschern.<\/p>\n<p>In diesem Fall handelt es sich jedoch um Malware, die Cyberkriminelle <em>in der Allgemeinheit<\/em> verbreiten. Ihre Ziele sind Anzeigenbetrug und die Erstellung eines Proxy-<a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/botnet\/\" target=\"_blank\" rel=\"noopener\">Botnets<\/a> aus infizierten Auto-Head-Units in Fahrzeugen. In diesem Artikel erkl\u00e4ren wir, was eine Head-Unit ist, wie genau Angreifer diese Ger\u00e4te infizieren und was dies f\u00fcr Autofahrer bedeuten kann.<\/p>\n<h2>Was ist eine Auto-Head-Unit (HU)?<\/h2>\n<p>Lass uns zun\u00e4chst kl\u00e4ren, was eine Auto-<a href=\"https:\/\/de.wikipedia.org\/wiki\/Autoradio\" target=\"_blank\" rel=\"noopener nofollow\">Head-Unit<\/a> eigentlich ist. Der Begriff mag technisch klingen, aber in Wirklichkeit interagieren die meisten Autofahrer jedes Mal damit, wenn sie ihr Fahrzeug benutzen. Eine Head-Unit ist das Infotainment-System des Fahrzeugs, das normalerweise um ein Display herum angeordnet ist und zur Steuerung von Navigation, Musik und anderen Fahrzeugfunktionen verwendet wird. In modernen Autos sind Head-Units oft mit dem Internet verbunden.<\/p>\n<p>Hersteller verwenden Android h\u00e4ufig als Betriebssystem f\u00fcr ihre Head-Units \u2013 auch aus Gr\u00fcnden der Einfachheit: Android ist f\u00fcr die Unterst\u00fctzung von Auto-Head-Units konzipiert und bietet eine Reihe von Vorteilen:<\/p>\n<ul>\n<li>Umfangreiche Anpassungsm\u00f6glichkeiten der Benutzeroberfl\u00e4che;<\/li>\n<li>einfache App-Entwicklung;<\/li>\n<li>die M\u00f6glichkeit, eigene System-Apps und -Komponenten hinzuzuf\u00fcgen;<\/li>\n<li>ein gro\u00dfes bestehendes App-\u00d6kosystem.<\/li>\n<\/ul>\n<p>Diese Vorteile bergen jedoch auch Risiken, da die betreffenden Apps m\u00f6glicherweise eher sch\u00e4dlich als seri\u00f6s sind. Und genau das ist hier passiert: Angreifer haben Autos mithilfe eines Schadprogramms zu einem Teil eines Botnets gemacht. Hier erf\u00e4hrst du, wie das vor sich geht.<\/p>\n<h2>Wie infizieren Angreifer Auto-Head-Units und welche Malware verwenden sie?<\/h2>\n<p>Zun\u00e4chst ist anzumerken, dass diese Malware nicht alle Head-Units bef\u00e4llt, sondern in erster Linie solche, die die Software des chinesischen Unternehmens DoFun verwenden. Das Unternehmen entwickelt Firmware, Anwendungen und Cloud-Dienste f\u00fcr Android-basierte Fahrzeug-Infotainment-Systeme und bedient laut seiner <a href=\"https:\/\/www.dofun.cc\/cloud\/index.html\" target=\"_blank\" rel=\"noopener nofollow\">Website<\/a> mehr als 30 Millionen Fahrzeugbesitzer weltweit.<\/p>\n<p>Um die Malware in das Infotainment-System eines Autos einzuschleusen, verwenden die Angreifer TWCore, eine seri\u00f6se System-App, die f\u00fcr Software-Updates auf DoFun-Head-Units verantwortlich ist. Unter normalen Umst\u00e4nden erh\u00e4lt TWCore Informationen \u00fcber Dateien, die heruntergeladen und auf dem Ger\u00e4t installiert werden m\u00fcssen, aus der Entwickler-Cloud. Dabei handelt es sich in erster Linie um Updates f\u00fcr Software, die bereits auf der Head-Unit installiert ist, aber der gleiche Mechanismus kann auch verwendet werden, um v\u00f6llig neue Apps zu installieren. Und genau das machen sich die Angreifer zunutze: Mit TWCore installieren sie JarService \u2013 einen sch\u00e4dlichen <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/trojan-droppers\/\" target=\"_blank\" rel=\"noopener\">Viren-Dropper<\/a> \u2013 auf ihren Head-Units.<\/p>\n<p>JarService ist im Wesentlichen eine \u201eleere\u201c Anwendung. Das hei\u00dft, es hat keine Benutzeroberfl\u00e4che und versucht nicht, sich als seri\u00f6ser Dienst auszugeben. Das Fehlen einer Schnittstelle ist in diesem Fall durchaus sinnvoll: Die Angreifer m\u00fcssen den Benutzer nicht dazu bringen, die Malware manuell zu installieren, und es ist keinerlei Benutzerinteraktion erforderlich.<\/p>\n<p>Der JarService-Code enth\u00e4lt in verschl\u00fcsselter Form die Nutzdaten der n\u00e4chsten Stufe sowie Informationen \u00fcber die Version und den Einstiegspunkt. Die Aufgabe von JarService besteht darin, diese Daten zu entschl\u00fcsseln und die n\u00e4chste Phase der Infektion zu starten: einen sch\u00e4dlichen Downloader. Nach dem Start stellt der Downloader eine Verbindung zum Command-and-Control-Server (C2) des Angreifers her und sendet ihm Informationen \u00fcber die installierte Malware. Als Antwort stellt der Server einen Link zu den Nutzdaten der n\u00e4chsten Stufe bereit. Der Downloader ruft die Nutzdaten ab, entschl\u00fcsselt sie und f\u00fchrt sie aus.<\/p>\n<p>In diesem Fall installiert die Malware einen sogenannten Klicker \u2013 eine Art von Malware, mit der die Zahl der Werbeeinblendungen in betr\u00fcgerischer Absicht erh\u00f6ht wird. Nach dem Start kontaktiert die Malware regelm\u00e4\u00dfig den C2-Server und sendet ihm Informationen \u00fcber das infizierte Ger\u00e4t \u2013 einschlie\u00dflich Modell, Bildschirmaufl\u00f6sung, MAC-Adresse und Details des verbundenen WLAN-Netzwerks. Im Gegenzug erh\u00e4lt die Malware verschiedene Befehle von den Angreifern. Sie kann beispielsweise HTTP-Anfragen stellen und Webseiten \u00f6ffnen. Vor allem aber kann sie zus\u00e4tzlichen Schadcode herunterladen und auf dem Infotainment-System des unterwanderten Autos ausf\u00fchren.<\/p>\n<p>Angreifer verwenden diese Funktion, um ein sch\u00e4dliches Modul namens <em>zhima<\/em> zu installieren, das die infizierte Head-Unit zu einem Botnet hinzuf\u00fcgt. Das resultierende Botnet betreibt einen sogenannten <a href=\"https:\/\/www.kaspersky.de\/blog\/save-your-home-router-from-apt-residential-proxy\/32438\/#:~:text=Wie%20kompromittierte%20Router%20ausgenutzt%20werden\" target=\"_blank\" rel=\"noopener\">Residential Proxy<\/a> Service, der es Angreifern erm\u00f6glicht, ihren Datenverkehr \u00fcber infizierte Ger\u00e4te zu leiten, wenn sie Angriffe oder andere sch\u00e4dlichen Aktivit\u00e4ten ausf\u00fchren.<\/p>\n<h2>Wer steckt hinter der Malware und was wollen die Angreifer erreichen?<\/h2>\n<p>Die Angreifer infizieren Auto-Head-Units mit Malware vor allem, um ihr Botnet zu erweitern. Eine Untersuchung von Kaspersky-Experten hat ergeben, dass der Vorgang mit der <a href=\"https:\/\/www.kaspersky.de\/blog\/android-tv-botnet\/33541\/\" target=\"_blank\" rel=\"noopener\">sch\u00e4dlichen Plattform BADBOX<\/a> in Verbindung steht, genauer gesagt mit einem der damit verbundenen Bedrohungsakteure: der MoYu-Gruppe. Hinweise im Code der Malware sowie \u00dcberschneidungen mit der Infrastruktur, die zuvor der MoYu-Gruppe zugeschrieben wurde, weisen auf eine Beteiligung der Gruppe hin. BADBOX selbst vereint eine Reihe sch\u00e4dlicher Aktivit\u00e4ten, die darauf abzielen, Android-Ger\u00e4te zu infizieren und deren Ressourcen heimlich auszunutzen.<\/p>\n<p>Die Angreifer verdienen dann Geld, indem sie den Zugriff auf Ressourcen, die anderen geh\u00f6ren, zu Geld machen. Bei der Untersuchung der Botnet-Infrastruktur fanden unsere Experten Verbindungen zwischen der MoYu-Gruppe und den Diensten PXYEDGE und ProxyForU, die Proxy-Dienste f\u00fcr Privatkunden anbieten. Diese Dienste erm\u00f6glichen es Clients auf der ganzen Welt, ihren Internetverkehr \u00fcber Ger\u00e4te zu leiten, die mit dem Botnet verbunden sind, und so auf das Internet \u00fcber die IP-Adressen dieser Ger\u00e4te zuzugreifen. Vermutet wird, dass infizierte Auto-Head-Units m\u00f6glicherweise bereits als Teil dieser Infrastruktur verwendet werden.<\/p>\n<h2>Wie wirkt sich die Malware auf die Benutzer aus?<\/h2>\n<p>In erster Linie beansprucht die Malware einen Teil der Rechenressourcen der Head-Unit. Die zus\u00e4tzliche Auslastung kann dazu f\u00fchren, dass das Infotainment-System des Autos langsamer oder instabiler wird. Gleichzeitig ist es sehr wahrscheinlich, dass sich die Geschwindigkeit der Internetverbindung des infizierten Ger\u00e4ts verringert, da Angreifer m\u00f6glicherweise erhebliche Datenverkehrsmengen \u00fcber dieses Ger\u00e4t leiten.<\/p>\n<p>Es ist auch erw\u00e4hnenswert, dass die F\u00e4higkeiten der Malware nicht auf die Bereitstellung von Proxy-Funktionen beschr\u00e4nkt sind. Sie kann Befehle von Angreifern empfangen und zus\u00e4tzlichen Schadcode herunterladen und ausf\u00fchren. Daher k\u00f6nnen die Folgen einer Infektion unterschiedlich sein, je nachdem, welche Nutzdaten die Botnet-Betreiber auf dem Ger\u00e4t installieren m\u00f6chten.<\/p>\n<h2>Fazit<\/h2>\n<p>Dieser Fall zeigt einmal mehr, dass Angriffe auf alle Arten von mit dem Internet verbundenen Ger\u00e4ten \u2013 von der TV-Box bis zum Infotainment-System im Auto \u2013 keine Theorie sind, sondern eine Realit\u00e4t. Da Angreifer st\u00e4ndig nach neuen Ger\u00e4ten suchen, deren Ressourcen sie f\u00fcr ihre Zwecke nutzen k\u00f6nnen, ist der Schutz vor Malware weit \u00fcber Computer und Smartphones hinaus wichtig.<\/p>\n<p>Unsere Experten haben den Entwickler \u00fcber das von ihnen identifizierte Verteilungsschema f\u00fcr Malware informiert, woraufhin sich der Entwickler der gefundenen Sicherheitsprobleme angenommen hat.<\/p>\n<p>Eine vollst\u00e4ndige technische Analyse der Malware ist auf <a href=\"https:\/\/securelist.com\/android-head-unit-malware\/121106\/\" target=\"_blank\" rel=\"noopener\">Securelist<\/a> verf\u00fcgbar.<\/p>\n<blockquote><p>Mit welchen anderen Methoden k\u00f6nnen Angreifer ein Auto hacken und welche Risiken bergen sie f\u00fcr den Autofahrer? In unseren Artikeln erf\u00e4hrst du mehr:<\/p>\n<ul>\n<li><a href=\"https:\/\/www.kaspersky.com\/blog\/automotive-security-2025\/54562\/\" target=\"_blank\" rel=\"noopener nofollow\">Highway to\u00a0\u2026 hacked: Cyberbedrohungen f\u00fcr vernetzte Autos<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.de\/blog\/perfektblue-bluetooth-car-hack\/32596\/\" target=\"_blank\" rel=\"noopener\">Auto-Hacking \u00fcber Bluetooth<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.de\/blog\/dashcam-hack-botnet-on-the-wheels\/32977\/\" target=\"_blank\" rel=\"noopener\">Botnet auf R\u00e4dern: Massenhaftes Hacking von Dashcams<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.de\/blog\/the-car-that-spied-on-you-carint\/33499\/\" target=\"_blank\" rel=\"noopener\">Ist dein Auto ein Spion?<\/a><\/li>\n<li><a href=\"https:\/\/www.kaspersky.de\/blog\/car-manufacturers-silently-sell-user-telematics-data\/31280\/\" target=\"_blank\" rel=\"noopener\">Ich wei\u00df, wie du letzten Sommer gefahren bist<\/a><\/li>\n<\/ul>\n<\/blockquote>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"premium-geek\">\n","protected":false},"excerpt":{"rendered":"<p>Angreifer haben eine weitere Quelle f\u00fcr freie Rechenressourcen gefunden: Infotainment-Einheiten im Auto. Wir werfen einen Blick auf die erste Malware, die speziell darauf abzielt, Autos zu infizieren. <\/p>\n","protected":false},"author":2739,"featured_media":33833,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2711],"tags":[55,1025,274,3250,3027,1650,1498,4282,1416],"class_list":["post-33832","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-android","tag-autos","tag-bedrohungen","tag-botnets","tag-cyberangriffe","tag-malware","tag-schwachstellen","tag-transportwesen","tag-vernetzte-gerate"],"hreflang":[{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/car-botnet-malware-for-head-units-with-android\/33832\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/car-botnet-malware-for-head-units-with-android\/30996\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/26022\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/13641\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/car-botnet-malware-for-head-units-with-android\/30828\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/car-botnet-malware-for-head-units-with-android\/32405\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/car-botnet-malware-for-head-units-with-android\/30955\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/car-botnet-malware-for-head-units-with-android\/42555\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/car-botnet-malware-for-head-units-with-android\/56296\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/car-botnet-malware-for-head-units-with-android\/24230\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/car-botnet-malware-for-head-units-with-android\/30969\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/car-botnet-malware-for-head-units-with-android\/36491\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/car-botnet-malware-for-head-units-with-android\/36403\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.de\/blog\/tag\/autos\/","name":"autos"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33832","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/users\/2739"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/comments?post=33832"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33832\/revisions"}],"predecessor-version":[{"id":33834,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/33832\/revisions\/33834"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media\/33833"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media?parent=33832"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/categories?post=33832"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/tags?post=33832"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}