Sicherheitsforscher von Kaspersky haben eine Malware-Kampagne aufgedeckt, die gezielt Android-basierte Head-Units in Fahrzeugen infiziert. Es handelt sich nach Angaben des Unternehmens um die erste dokumentierte Schadsoftware-Kampagne dieser Art. Verbreitet wurde die Malware über den eigentlich legitimen Update-Mechanismus TWCore des Herstellers DoFun mit Sitz in Hongkong.
Ausnutzung eines legitimen Update-Kanals
Statt auf klassische Angriffswege wie manipulierte Apps oder Phishing zu setzen, nutzten die Angreifer laut Kaspersky eine Sicherheitslücke im TWCore-Firmware-Update-Dienst von DoFun. Über diesen Kanal gelangte der sogenannte JarService-Dropper auf die betroffenen Systeme – eine Komponente ohne eigene Benutzeroberfläche, die im Hintergrund weitere Schadmodule nachlädt.
Auf den Dropper folgt laut den Sicherheitsforschern ein Loader, der wiederum das Modul „zhima“ installiert, das als Clicker und Reverse-Proxy fungiert. DoFun hat die ausgenutzte Sicherheitslücke im Update-Mechanismus mittlerweile geschlossen.
Der aktuelle Vorfall zeigt, wie anfällig Android-Systeme für professionelle Hackerangriffe sein können. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Gerät mit fünf einfachen Schritten vor Viren und Datenspionage schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Aufbau eines Proxy-Botnetzes für Ad Fraud
Ziel der Kampagne ist laut Kaspersky nicht die Manipulation fahrzeugrelevanter Funktionen, sondern der Aufbau eines Residential-Proxy-Botnetzes sowie das Betreiben von Ad Fraud.
Die Malware kommunizierte demnach über den MQTT-Broker cardoor[.]cn und wies Verbindungen zu den bereits bekannten Schadprogrammen PXYEDGE und ProxyForU auf. Insgesamt identifizierten die Forscher sieben Payload-Versionen mit den Versionsnummern 3.57 bis 3.68, die sich alle 90 Minuten bei ihrer Infrastruktur meldeten.
Die Analyse von Securelist, der Forschungsplattform von Kaspersky, zeigt zudem, dass die Malware über neun verschiedene Befehle verfügt, darunter auch die Möglichkeit zur Ausführung von Code auf dem infizierten Gerät. Konkret zum Einsatz kamen dabei die Befehle „loadlib2″, der das Modul „zhima“ nachlädt, sowie der Befehl „http“.
Verbindung zur MoYu Group und zu BADBOX
Kaspersky ordnet die Kampagne der sogenannten MoYu Group zu, die bereits in Verbindung mit dem als BADBOX bekannten Schadsoftware-Ökosystem gebracht wird. BADBOX ist als groß angelegte Kampagne bekannt, bei der günstige Android-Geräte bereits ab Werk oder über Update-Kanäle mit Schadsoftware versehen werden, um sie anschließend für kriminelle Zwecke wie Werbebetrug oder den Aufbau von Proxy-Netzwerken zu missbrauchen.
Kaspersky betont zugleich, dass die Infektion keine Auswirkungen auf sicherheitsrelevante Fahrzeugfunktionen wie Steuerung, Bremsen oder Motorsteuerung hat. Betroffen ist ausschließlich das Infotainmentsystem, also die Android-Head-Unit, über die Fahrer typischerweise Navigation, Musik oder Freisprecheinrichtung bedienen.
Da Cyberkriminelle zunehmend auch auf mobile Betriebssysteme setzen, ist ein grundlegendes Verständnis für Sicherheitsupdates unerlässlich. Dieser Gratis-Report erklärt anschaulich, welche Risiken drohen, wenn Updates ignoriert werden und wie Sie Ihr System aktuell halten. Kostenlosen Android-Sicherheits-Ratgeber herunterladen
Bedeutung für die Branche
Der Fall zeigt, wie Update-Mechanismen, die eigentlich der Absicherung von Geräten dienen sollen, selbst zum Einfallstor für Angreifer werden können. Da Android-Head-Units zunehmend Standard in Neu- und Nachrüstfahrzeugen sind, dürfte die Kampagne die Diskussion über die Absicherung von Firmware-Update-Ketten in der Automobilbranche weiter befeuern. DoFun hat auf die Entdeckung reagiert und die betroffene Schwachstelle bereits behoben.
