Sicherheitsforscher von Kaspersky haben die nach eigenen Angaben erste dokumentierte Schadsoftware identifiziert, die gezielt auf Android-basierte Head-Units in Fahrzeugen abzielt. Die Malware verbreitete sich über TWCore, einen legitimen Update-Dienst des Herstellers DoFun.
Verbreitung über legitimen Update-Kanal
Besonders brisant an dem Fund ist der Verbreitungsweg: Statt über gefälschte Apps oder Drittanbieter-Stores gelangte die Schadsoftware über den offiziellen Update-Dienst TWCore auf die Geräte.
DoFun, ein Hersteller von Android-Head-Units mit Sitz in Hongkong, stellt diesen Dienst normalerweise für reguläre Software-Updates bereit. Genau diese Vertrauensstellung machten sich die Angreifer laut Kaspersky zunutze, um ihre Malware unbemerkt an Nutzer auszuliefern.
Funktionsweise des JarService-Droppers
Im Zentrum der Kampagne steht eine Komponente namens JarService, die als sogenannter Dropper fungiert. Sie läuft laut Kaspersky vollständig ohne Benutzeroberfläche im Hintergrund und verfügt über neun Befehle, mit denen sie gesteuert werden kann. Über diesen Dropper installiert die Malware zwei weitere Module: ein Clicker-Modul sowie das sogenannte zhima-Modul, das für den Aufbau eines Proxy-Botnets zuständig ist.
Nach Einschätzung von Kaspersky verfolgt die Kampagne zwei Hauptziele: Zum einen soll über das Clicker-Modul Ad Fraud betrieben werden, also die automatisierte Manipulation von Werbeanzeigen zur Generierung betrügerischer Einnahmen.
Der Missbrauch von Android-Systemen durch Dropper und versteckte Hintergrundprozesse zeigt, wie verwundbar vernetzte Geräte ohne die richtigen Sicherheitsvorkehrungen sind. Dieser kostenlose Ratgeber enthüllt, wie Kriminelle Android-basierte Systeme ausspähen und mit welchen einfachen Schritten man sich effektiv schützt. Wie Sie sich vor Datenmissbrauch schützen
Zum anderen dient das zhima-Modul dem Aufbau eines Proxy-Botnets, über das kompromittierte Geräte als Netzwerkknoten für weiteren Datenverkehr missbraucht werden können – etwa zur Verschleierung der Herkunft anderer schädlicher Aktivitäten.
Zuschreibung zur MoYu Group
Kaspersky ordnet den Angriff mit hoher Konfidenz der sogenannten MoYu Group zu, die auch unter der Bezeichnung BADBOX bekannt ist. Diese Gruppe steht bereits im Zusammenhang mit früheren Kampagnen, die auf günstige Android-Geräte abzielten, um sie in großangelegte Botnetze einzugliedern.
Reaktion des Herstellers
DoFun hat nach Bekanntwerden des Vorfalls die Sicherheitslücke im Update-Dienst TWCore geschlossen. Damit wurde der ursprüngliche Verbreitungsweg der Malware unterbunden. Offen bleibt, wie viele Fahrzeuge beziehungsweise Head-Units insgesamt betroffen waren, da hierzu keine belastbaren Zahlen vorliegen.
Bedeutung für die Automobilbranche
Der Fall zeigt exemplarisch, welche neuen Angriffsflächen mit der zunehmenden Vernetzung und Android-Integration in Fahrzeugen entstehen. Anders als bei klassischen Smartphone-Infektionen betrifft eine Kompromittierung von Infotainmentsystemen potenziell auch sicherheitsrelevante Fahrzeugfunktionen, auch wenn im vorliegenden Fall laut den Erkenntnissen von Kaspersky in erster Linie finanziell motivierte Ziele wie Ad Fraud und Proxy-Netzwerke im Vordergrund standen.
Wer sich mit der Sicherheit vernetzter Android-Technik befasst, sollte die grundlegenden Einfallstore für Hacker und Viren kennen, um seine Daten proaktiv abzusichern. In diesem gratis PDF-Ratgeber erfahren Nutzer, wie sie mit fünf einfachen Maßnahmen für einen optimalen Schutz ihrer Geräte sorgen. 5 Schutzmaßnahmen jetzt kostenlos entdecken
Der Vorfall unterstreicht zudem, dass Angreifer zunehmend legitime Update-Infrastrukturen als Einfallstor nutzen, um Erkennungsmechanismen zu umgehen – ein Muster, das sich in den vergangenen Jahren auch in anderen Bereichen der Software-Lieferkette beobachten ließ.
