Nachger\u00fcstete Android-Autoradios der Marke DoFun stehen im Fokus von Sicherheitsuntersuchungen, nachdem Schadcode in der Ger\u00e4te-Firmware identifiziert wurde. Berichten zufolge installieren diese Systeme eigenst\u00e4ndig fremde Anwendungen, ohne dass eine Interaktion durch den Nutzer erforderlich ist. Die Manipulation betrifft die Software-Umgebung der Infotainment-Systeme und erm\u00f6glicht weitreichende unbefugte Aktivit\u00e4ten im Hintergrund.<\/p>\n
Mechanismus der Infektion \u00fcber System-Apps<\/p>\n
Die Analyse der Sicherheitsvorf\u00e4lle zeigt, dass die Infektion \u00fcber eine legitime System-Anwendung namens TWCore erfolgt. Diese Update-App dient als Einfallstor f\u00fcr die Installation fremder Software.<\/p>\n
Den vorliegenden Informationen zufolge wird f\u00fcr die Verteilung ein spezifischer MQTT-Broker unter der Adresse cardoor.cn genutzt. Durch den Befehl \u201einstallNotExists=true\u201c wird die Installation der Schadsoftware auf den Ger\u00e4ten erzwungen. Eine offizielle Kennung f\u00fcr diese Schwachstelle (CVE) liegt derzeit nicht vor.<\/p>\n
Sicherheitsexperten von Kaspersky ordnen diese Aktivit\u00e4ten einer ersten mehrstufigen Angriffskampagne zu, die gezielt auf DoFun-Ger\u00e4te ausgerichtet ist. Die Hinterm\u00e4nner werden der sogenannten MoYu-Gruppe zugeschrieben, die auch unter dem Namen BadBox bekannt ist.<\/p>\n
Der Angriff erfolgt in drei definierten Stufen: Zun\u00e4chst wird ein per XOR-Verfahren entpackter Loader aktiv, der im zweiten Schritt die Registrierung bei einem Kontrollserver (C2) vornimmt. In der finalen Phase wird die Komponente \u201ezhima\u201c nachgeladen, die f\u00fcr Klickbetrug und Proxy-Dienste verantwortlich ist.<\/p>\n
Anzeige<\/p>\n
Wer sich mit der Sicherheit von vernetzten Android-Systemen befasst, sollte die grundlegenden Einfallstore f\u00fcr Schadsoftware kennen. Dieser kostenlose Ratgeber zeigt Ihnen in f\u00fcnf einfachen Schritten, wie Sie Ihre Android-Ger\u00e4te effektiv vor Hackern und Viren sch\u00fctzen. 5 sofort umsetzbare Schutzma\u00dfnahmen entdecken<\/a><\/p>\n Datensammlung und Werbebetrug im Hintergrund<\/p>\n Die identifizierte Schadsoftware, die unter Bezeichnungen wie JarService oder zhima gef\u00fchrt wird, operiert ohne grafische Benutzeroberfl\u00e4che und bleibt somit f\u00fcr den Anwender unsichtbar. Zu den Hauptfunktionen geh\u00f6ren die Anzeige unerw\u00fcnschter Werbung sowie die Durchf\u00fchrung von Werbebetrug. Parallel dazu findet eine systematische Erfassung von Ger\u00e4tedaten statt.<\/p>\n In einem Rhythmus von 90 Minuten \u00fcbermittelt das infizierte Radio sensible Informationen an einen externen Kontrollserver. Zu den \u00fcbertragenen Datens\u00e4tzen geh\u00f6ren die Bildschirmaufl\u00f6sung, die genaue Modellbezeichnung, die Kennung des genutzten WLAN-Netzwerks sowie die MAC-Adresse des Ger\u00e4ts. Damit ist eine detaillierte Profilbildung und Nachverfolgung der betroffenen Hardware m\u00f6glich.<\/p>\n Einordnung durch das BSI und historische Tragweite<\/p>\n Die Bedrohung durch die BadBox-Kampagne ist in Deutschland bereits l\u00e4nger bekannt. Daten des Bundesamtes f\u00fcr Sicherheit in der Informationstechnik (BSI) belegen, dass diese Infrastruktur in der Vergangenheit signifikante Auswirkungen hatte.<\/p>\n In einem Zeitraum zwischen Juli 2024 und Juni 2025 machte BadBox bis zu 58 Prozent der infizierten Systeme in Deutschland aus. Das Amt griff bereits im Dezember 2024 aktiv ein und trennte bis zu 30.000 Ger\u00e4te von der sch\u00e4dlichen Infrastruktur.<\/p>\n Trotz der Schwere der Sicherheitsm\u00e4ngel gibt es derzeit keine Hinweise darauf, dass die Malware Auswirkungen auf die unmittelbare Fahrzeugkontrolle hat. Die Funktionen scheinen auf die Ebene des Infotainment-Systems begrenzt zu sein. Der Hersteller DoFun hat auf die Berichte reagiert und mitgeteilt, dass die Problematik inzwischen behoben worden sei.<\/p>\n Anzeige<\/p>\n