Cybersecurity Android-Malware greift Head-Unit an

Anbieter zum Thema

Metrofunk Kabel-Union GmbH

Würth Elektronik eiSos GmbH & Co. KG

Eine neuartige Android-Malware hat die Fahrzeug-Head-Units des Herstellers DoFun attackiert. Das hat Kaspersky aufgedeckt. Dabei wurde der Update-Mechanismus der System-App TWCore genutzt, um Schad-Software auf Android-basierende Autoradios zu übertragen, unerwünschte Werbung einzublenden und weitere Schadmodule herunterzuladen.

Kaspersky hat im Juni 2026 festgestellt, dass eine neuartige Android-Malware die Head-Unit von Fahrzeugen angreift, wo Multimediafunktionen und teilweise auch Funktionen zur Fahrzeugsteuerung zusammenlaufen. Betroffen war der Hersteller DoFun. Die Systeme können werkseitig installiert oder in älteren Fahrzeugen nachgerüstet werden. Viele Hersteller setzen auf Android als Betriebssystem, weil sich damit Nutzeroberflächen flexibel anpassen und wichtige Systemkomponenten integrieren lassen. Doch damit öffnen sich auch Einfallstore für Hacker, denn so können auf diesen Geräten nicht nur die meisten herkömmlichen Android-Apps, sondern auch Android-Malware ausgeführt werden. Zwar speichern Head-Units nur selten sensible persönliche Daten, sie verfügen jedoch häufig über SIM-Kartensteckplätze und einen permanenten Internetzugang für Navigation und Software-Updates, was sie zu einem potenziellen Ziel für Angreifer macht.

System-App TWCore als Ausgangspunkt

Die entdeckte Schad-Software wurde über die Update-Mechanismen verbreitet, die in die Firmware verschiedener Android-gestützter Autoradios des Herstellers DoFun integriert sind. Ausgangspunkt der Infektionskette war die legitime System-App TWCore, die Analysedaten erfasst und die Software der Autoradios aktualisiert. Vom Server des Herstellers erhielt TWCore Anweisungen dazu, welche Apps installiert oder aktualisiert werden sollten. Angreifer missbrauchten sie, um mithilfe des Droppers JarService eine zuvor unbekannte Schad-Software direkt auf die Autoradios zu übertragen.

Der komplexe, mehrstufige Infektionsprozess war darauf ausgelegt, möglichst unentdeckt zu bleiben. Die Malware installierte sich als gewöhnliche Nutzeranwendung, verfügte jedoch über keine Nutzeroberfläche und lief unbemerkt im Hintergrund. Die Angreifer implementierten dabei neun verschiedene Befehle, mit denen sie unerwünschte Werbung einblenden, Werbebetrug begehen und zusätzliche Schadmodule herunterladen konnten. Darüber hinaus erfassten sie Geräteinformationen wie die Bildschirmauflösung, das Gerätemodell, die WLAN-Netzwerkkennung und die MAC-Adresse.

DoFun hat Problem behoben

Bei der Analyse entdeckte Kaspersky Verbindungen zwischen dieser Kampagne und der MoYu-Gruppe, die mit dem BadBox-Botnetz in Verbindung gebracht wird. Die Hinweise ergaben sich aus einem Vergleich mit früheren Angriffen auf TV-Receiver. Darüber hinaus weist das Administrationspanel des Botnetzes Ähnlichkeiten mit den Websites der Residential-Proxy-Dienste PXYEDGE und ProxyForU auf. Dazu zählen zum Beispiel eingebettete URLs im Quellcode der Webseiten. Bei BadBox handelt es sich um ein groß angelegtes Botnetz aus gekaperten Android-Geräten, darunter Streaming-TV-Boxen, Smartphones und Tablets, die bereits ab Werk mit Schad-Software infiziert sind. Angreifer nutzen die versteckten Backdoors, um Werbebetrug zu begehen, Daten zu stehlen und Heimnetzwerke als Relais für illegalen Proxy-Datenverkehr zu missbrauchen.

Kaspersky informierte DoFun über die entdeckte Malware. Nach Angaben des Herststellers wurde das Problem inzwischen behoben. (se)

Formale Analyse von Automotive-Protokollen

Wie ein mathematischer Beweis Schwachstellen identifiziert, die kein Test findet

Etas Automotive Cyber Maturity Report 2025

Cyberreife verbessern

(ID:50937332)