Malware in Android-Autoradios: Updates werden zum Einfallstor für Ad Fraud und Proxy-Botnetze

Eine neue Infektionskette für DoFun-Headunits

Kaspersky-Forscher haben im Juni 2026 eine Malware-Familie entdeckt, die speziell auf die Firmware von Android-Headunits des Herstellers DoFun abzielt. Der veröffentlichten Analyse zufolge handelt es sich um den ersten dokumentierten Fall einer Infektionskette, die gezielt für automobile Multimediasysteme entwickelt wurde.

Das Ziel besteht nicht darin, die Fahrfunktionen unmittelbar zu kontrollieren, sondern die Android-Einheit in eine Plattform für Werbebetrug und Proxy-Aktivitäten zu verwandeln. Nach der Kompromittierung können Angreifer zusätzliche Module installieren, unerwünschte Inhalte anzeigen, Code aus der Ferne ausführen und die Internetverbindung des Fahrzeugs zur Weiterleitung von Datenverkehr nutzen.

Die Bedrohung betrifft einen Bereich, der häufig als reines Infotainment betrachtet wird. Headunits sind jedoch Android-Computer mit Netzwerkverbindungen, Anwendungen, dauerhaftem Speicher und in vielen Fällen Internetzugang über eine integrierte SIM-Karte.

Die Schwachstelle liegt in der Update-Anwendung

Im Zentrum des Angriffs steht TWCore, eine Systemanwendung mit dem Package com.tw.core. Die Software erfüllt legitime Aufgaben: Sie sammelt Analysedaten und aktualisiert die Headunit, indem sie APK-Dateien herunterlädt.

Die Betreiber von MoYu nutzten genau diesen Mechanismus, um direkt auf den Einheiten Schadsoftware zu verteilen. Die Kommunikation mit der Update-Infrastruktur erfolgt über MQTT unter Verwendung der Subdomain cardoor[.]cn. Die APK-Pakete werden in folgendem Verzeichnis gespeichert:

<TWCore external cache dir>/push/apk/

Der Missbrauch wurde verantwortungsvoll gemeldet. Das Problem, das die Verteilung nicht autorisierter Software ermöglichte, wurde behoben. Die genauen korrigierten Versionen sowie ein vollständiges öffentliches Verfahren zur Überprüfung aller betroffenen Modelle sind jedoch nicht bekannt.

Das Risiko steigt dadurch, dass Android-Headunits entweder direkt vom Hersteller eingebaut oder nachträglich als Aftermarket-Systeme installiert werden können. Die Angriffsfläche kann daher sowohl neue Fahrzeuge als auch ältere Autos mit nachgerüsteten Komponenten umfassen.

JarService startet einen mehrstufigen Downloader

Die erste in dieser Kette identifizierte Malware ist ein Dropper namens JarService. Seine Aufgabe besteht darin, erste Kontrollen zu umgehen und einen Loader zu starten, der die nächste Payload abruft.

Die von den Forschern beobachtete Abfolge funktioniert folgendermaßen:

1. Der Loader sammelt Informationen über die kompromittierte Headunit.
2. Er sendet die Daten per HTTP-POST-Anfrage an einen entfernten Server.
3. Er erhält einen Link zur nächsten Komponente.
4. Er lädt die Payload von der Adresse 144.217.243[.]201/vr34der34/dex3.68.png herunter.

Die Endung .png weist nicht unbedingt auf ein Bild hin. Die Datei dient als Container für den zu installierenden Code. Die Referenz dex3.68 bezeichnet eine Payload-Version: Durch Änderung der Zahl in der URL konnte Kaspersky sieben Varianten abrufen, darunter Versionen ab 3.57.

Am Ende der Kette wird die Malware wie eine gewöhnliche Benutzeranwendung installiert. Sie zeigt weder Fenster noch eine sichtbare Benutzeroberfläche und läuft im Hintergrund weiter. Dadurch sinkt die Wahrscheinlichkeit, dass der Fahrzeughalter die Infektion bemerkt.

Eine aus der Ferne aktualisierte C2-Infrastruktur

Die installierte Komponente kontaktiert regelmäßig die Command-and-Control-Infrastruktur. Standardmäßig sendet sie alle 90 Minuten eine POST-Anfrage an den Endpunkt /cpc/api/task.

Die Kommunikation enthält Geräteinformationen und die Version der lokalen Konfiguration. Ist diese Konfiguration veraltet, liefert der Server neue C2-Adressen und HTTP-Pfade. Andernfalls enthält die Antwort numerische Befehlskennungen, die von den Betreibern productId genannt werden.

Der Trojaner ordnet jede Kennung den erforderlichen Parametern zu und speichert die Informationen als JSON-Serialisierung über SharedPreferences – den Android-Mechanismus zur Speicherung von Anwendungseinstellungen.

Diese Architektur ermöglicht es den Betreibern, Server, Pfade und Befehle schnell zu ändern, ohne die Hauptkomponente jedes Mal neu installieren zu müssen. Die Kompromittierung hängt somit nicht von einer festen, leicht blockierbaren Infrastruktur ab.

Neun Befehle für Werbung, Downloads und Fernsteuerung

Die Malware implementiert neun operative Funktionen:

• return liest Werte aus SharedPreferences und gibt sie zurück;
• copy verändert den Inhalt der Zwischenablage;
• http sendet HTTP-GET- oder -POST-Anfragen;
• web öffnet Inhalte in einer WebView und führt JavaScript aus;
• loadlib ist für das Laden von Bibliotheken vorgesehen, aber nicht vollständig implementiert;
• loadlib2 lädt Code von einer URL herunter und führt ihn aus;
• loadlib3 ist eine zweite, nicht fertiggestellte Ladefunktion;
• deeplink öffnet Adressen im Browser;
• traceroute prüft per ICMP-Ping die Erreichbarkeit einer Ressource.

Diese Fähigkeiten reichen aus, um ohne Zustimmung Werbung anzuzeigen, betrügerischen Werbeverkehr zu erzeugen und nachgelagerte Module zu installieren. Die Ausführung von JavaScript in einer WebView erweitert die Kontrolle über geladene Inhalte zusätzlich.

Die Malware sammelt außerdem technische Informationen über die Umgebung, darunter Bildschirmauflösung, Modell der Headunit, Kennung des WLANs und MAC-Adresse. Diese Daten können den Betreibern helfen, Geräte zu klassifizieren und gezielte Befehle zu verteilen.

Von Werbebetrug zu einem Proxy-Netzwerk

Besonders relevant ist die Nutzung der Befehle loadlib2 und http zur Installation von zhima – einem Reverse-Proxy-Modul, das bereits mit Kampagnen in Verbindung gebracht wurde, bei denen IPTV-Anwendungen auf günstigen Android-TV-Boxen eingesetzt wurden.

Eine kompromittierte Headunit kann dadurch zu einem Knoten werden, über den Datenverkehr Dritter weitergeleitet wird. Die Mobilfunk- oder WLAN-Verbindung des Fahrzeugs wird genutzt, als gehöre sie einem legitimen Benutzer, während der Betreiber die Kontrolle über den Datenstrom behält.

Die Infektion verfolgt somit zwei miteinander verbundene Ziele: die Monetarisierung des Geräts durch Ad Fraud und seine Einbindung in eine Proxy-Infrastruktur. Der Besitzer könnte einen ungewöhnlich hohen Datenverbrauch, Leistungseinbußen oder unerwarteten Netzwerkverkehr feststellen. Verlässliche sichtbare Anzeichen liefert die Malware jedoch nicht.

MoYu und der BADBOX-Kontext

Kaspersky schreibt die Kampagne mit hoher Wahrscheinlichkeit MoYu zu, einer mit dem BADBOX-Schema verbundenen Gruppe. Die Aktivitäten der Gruppe waren zuvor bereits vom Team HUMAN Satori Threat Intelligence and Research öffentlich gemacht worden.

Im Juli 2025 leitete Google rechtliche Schritte gegen 25 nicht namentlich genannte Personen oder Organisationen in China ein. Ihnen wurde vorgeworfen, das BADBOX-Botnet und die dazugehörige Infrastruktur zu betreiben. Der Fall mit den Headunits zeigt, dass sich die Operation nicht auf günstige Android-Geräte beschränkt, die als TV-Boxen verkauft werden.

Unbekannt ist, ob diese konkrete Kampagne eine bestimmte Anzahl von Fahrzeugen betraf oder welche Märkte besonders stark betroffen waren. Für die ausgenutzte Schwachstelle wurden außerdem keine CVE-Kennungen genannt. Nach den verfügbaren Informationen gibt es keine Hinweise darauf, dass der Fehler im KEV-Katalog der CISA aufgeführt ist.

Was bei betroffenen Einheiten geprüft werden sollte

Das Problem im Update-Kanal wurde behoben, die genauen korrigierten Versionen sind jedoch nicht bekannt. Betreiber von Fahrzeugen mit DoFun-Headunits sollten daher die Integrität von Firmware und Systemanwendungen prüfen und ausschließlich Updates des Herstellers oder eines autorisierten Händlers installieren.

Für die Überwachung sind insbesondere folgende Indikatoren relevant:

• Datenverkehr zu cardoor[.]cn;
• Verbindungen zu 144.217.243[.]201;
• regelmäßige Anfragen an /cpc/api/task;
• APKs oder Dateien mit Verweisen von dex3.57 bis dex3.68;
• Anwendungen ohne grafische Benutzeroberfläche, die im Hintergrund aktiv sind;
• ungewöhnliche Nutzung von WebView oder Code-Downloads über loadlib2;
• Datenverkehr, der mit einem Reverse Proxy vereinbar ist.

Das Vorhandensein eines dieser Signale beweist allein noch keine Infektion. Es kann jedoch eine forensische Prüfung der Firmware und der installierten Anwendungen rechtfertigen. Da keine detaillierte Bereinigungsanleitung veröffentlicht wurde, sollte eine Neuinstallation der Software ausschließlich mit offiziellen Images und nach den Verfahren des Herstellers erfolgen.