Thought Leadership
Kaspersky-Experten haben eine neuartige Android-Malware entdeckt, die gezielt Fahrzeug-Headunits des Herstellers DoFun angreift.
Headunits vereinen häufig Multimediafunktionen mit teilweiser Fahrzeugsteuerung und werden sowohl werkseitig verbaut als auch nachträglich in ältere Fahrzeuge eingebaut. Da viele Hersteller dafür auf Android setzen, lassen sich auf diesen Geräten grundsätzlich auch gewöhnliche Android-Apps und damit potenziell auch Android-Schadsoftware ausführen. Zwar speichern Headunits selten sensible persönliche Daten, verfügen jedoch häufig über SIM-Kartensteckplätze und dauerhaften Internetzugang für Navigation und Updates.
Im bereits im Juni 2026 entdeckten Fall nutzten die Angreifer die System-App TWCore als Ausgangspunkt, die eigentlich Analysedaten erfasst und Software-Updates auf den Autoradios verwaltet. Über den Dropper JarService schleusten sie darüber eine zuvor unbekannte Schadsoftware ein, die sich als gewöhnliche Nutzeranwendung ohne eigene Oberfläche installierte und unbemerkt im Hintergrund lief. Die Malware verfügte über neun verschiedene Befehle, mit denen sich unerwünschte Werbung einblenden, Werbebetrug begehen und weitere Schadmodule nachladen ließen, zusätzlich erfasste sie Geräteinformationen wie Bildschirmauflösung, Gerätemodell, WLAN-Kennung und MAC-Adresse.
Malware-Spuren führen zur BadBox-nahen MoYu-Gruppe
Bei der Analyse fand Kaspersky Verbindungen zur sogenannten MoYu-Gruppe, die dem seit 2023 bekannten BadBox-Botnetz zugeschrieben wird. Dieses hatte zuvor bereits Millionen günstiger Android-Geräte wie Streaming-Boxen, Tablets und teils bereits ab Werk infizierte Smartphones befallen und für Werbebetrug, Datendiebstahl sowie als Relais für illegalen Proxy-Datenverkehr missbraucht, die US-Bundespolizei FBI hatte bereits 2025 öffentlich vor der Weiterentwicklung BadBox 2.0 gewarnt. Die Hinweise auf MoYu ergaben sich laut Kaspersky aus einem Abgleich mit früheren Angriffen auf TV-Receiver sowie aus Ähnlichkeiten des Botnetz-Verwaltungspanels mit den Websites der Proxy-Dienste PXYEDGE und ProxyForU. Dmitry Kalinin, Sicherheitsexperte bei Kaspersky, ordnete den Fund so ein:
„Diese Malware ist die erste, die zielgerichtet Autoradios angreift.“
Dmitry Kalinin, Sicherheitsexperte bei Kaspersky
Die Verbreitungsmethoden entsprechender Schadsoftware würden zunehmend vielfältiger, von vorinstallierten Backdoors bis zu manipulierten IPTV-Anwendungen, moderne Fahrzeugplattformen benötigten daher dringend robusteren Schutz vor Schadsoftware. Kaspersky informierte den Hersteller DoFun über den Fund, nach dessen Angaben ist das Problem inzwischen behoben.
(red)
