Am 24. August 2026 wurde bekannt, dass Android-basierte Autoradios und Infotainment-Systeme verstärkt zum Ziel von Supply-Chain-Angriffen werden. Angreifer nutzen dabei legitime Software-Update-Prozesse, um Schadsoftware auf die Geräte aufzuspielen und diese in ein globales Proxy-Botnetz zu integrieren. Besonders betroffen zeigt sich der deutsche Markt, wie aktuelle Datenanalysen der nationalen Sicherheitsbehörden belegen.
Sicherheitsforscher von Kaspersky identifizierten bereits im Juni 2026 erste dokumentierte Fälle dieser spezifischen Malware-Kampagne auf Geräten der Marke DoFun. Der Infektionsweg unterscheidet sich dabei signifikant von herkömmlichen Angriffsmustern, da keine direkte Interaktion durch den Nutzer erforderlich ist.
Als zentrales Einfallstor fungiert die legitime Update-App TWCore, die auf den betroffenen Systemen vorinstalliert ist. Über diesen Dienst wird die Schadsoftware JarService nachgeladen, ein mehrstufiger Loader, der über neun verschiedene Befehle gesteuert werden kann.
Hoher Anteil infizierter Systeme in Deutschland
Ein zentraler Aspekt der aktuellen Bedrohungslage ist die Reichweite der Kampagne innerhalb der Bundesrepublik. Den Analysen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zufolge, die den Zeitraum von Juli 2024 bis Juni 2025 abdecken, entfielen in Deutschland bis zu 58 % der identifizierten Infektionsfälle in diesem Segment auf die sogenannte BadBox-Malware.
Diese Zahlen unterstreichen die Effektivität des Supply-Chain-Ansatzes, bei dem die Hardware bereits mit kompromittierter Software beim Endkunden eintrifft oder über offizielle Kanäle infiziert wird.
Anzeige
Da immer mehr vernetzte Systeme im Alltag angegriffen werden, ist ein grundlegender Schutz für alle Android-basierten Geräte unverzichtbar. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihre mobile Sicherheit sofort erhöhen und Datenmissbrauch verhindern. 5 Schutzmaßnahmen für Android jetzt kostenlos entdecken
Technisch kommuniziert die Schadsoftware nach der Installation über MQTT-Befehle mit einem externen Kontrollserver. Die betroffenen Infotainment-Systeme senden dabei in einem festen Intervall von 90 Minuten Statusberichte und Daten an die Hintermänner. Ziel dieser Aktivitäten ist primär die Durchführung von Werbebetrug (Ad Fraud) sowie der Aufbau eines Proxy-Netzwerks, über das kriminelle Akteure ihren Internetverkehr umleiten können.
Verbindungen zur MoYu-Gruppe und rechtliche Konsequenzen
Branchenanalysten ordnen die aktuelle Kampagne der sogenannten MoYu-Gruppe zu. Diese Gruppierung wurde bereits in der Vergangenheit mit der BadBox-Infrastruktur in Verbindung gebracht. Die Dimensionen dieses Netzwerks sind beträchtlich: Bereits im Juli 2025 reichte Google eine Klage gegen die Betreiber von BadBox 2.0 ein, nachdem festgestellt wurde, dass das Botnetz zu diesem Zeitpunkt über 10 Millionen Geräte umfasste.
Ein bemerkenswertes Detail der Untersuchung ist das Fehlen klassischer Sicherheitslücken. Laut Expertenberichten wurde für die gesamte Infektionskette keine spezifische CVE-Kennung registriert, da die Angreifer keine Schwachstellen im Code ausnutzten, sondern den vertrauenswürdigen Update-Mechanismus der Hersteller selbst manipulierten.
Anzeige
Wer sich mit der Absicherung vernetzter Endgeräte befasst, sollte die Bedeutung von kontrollierten Software-Prozessen nicht unterschätzen. Erfahren Sie in diesem gratis PDF-Report, wie IT-Experten die Sicherheit von Android-Systemen bewerten und welche Maßnahmen Ihre privaten Daten wirklich schützen. Kostenlosen Sicherheits-Ratgeber hier herunterladen
Der betroffene Hersteller DoFun hat auf die Entdeckungen reagiert und das Problem laut Sicherheitsforschern inzwischen behoben. Den noch bleibt der exakte Punkt der Kompromittierung innerhalb der Lieferkette weiterhin Gegenstand von Untersuchungen.
Die Vorfälle verdeutlichen die zunehmende Gefahr für vernetzte Fahrzeugkomponenten, die aufgrund ihrer langen Lebenszyklen und der oft intransparenten Software-Lieferketten ein attraktives Ziel für komplexe Cyberangriffe darstellen.