Nachgerüstete Android-Autoradios der Marke DoFun stehen im Fokus von Sicherheitsuntersuchungen, nachdem Schadcode in der Geräte-Firmware identifiziert wurde. Berichten zufolge installieren diese Systeme eigenständig fremde Anwendungen, ohne dass eine Interaktion durch den Nutzer erforderlich ist. Die Manipulation betrifft die Software-Umgebung der Infotainment-Systeme und ermöglicht weitreichende unbefugte Aktivitäten im Hintergrund.
Mechanismus der Infektion über System-Apps
Die Analyse der Sicherheitsvorfälle zeigt, dass die Infektion über eine legitime System-Anwendung namens TWCore erfolgt. Diese Update-App dient als Einfallstor für die Installation fremder Software.
Den vorliegenden Informationen zufolge wird für die Verteilung ein spezifischer MQTT-Broker unter der Adresse cardoor.cn genutzt. Durch den Befehl „installNotExists=true“ wird die Installation der Schadsoftware auf den Geräten erzwungen. Eine offizielle Kennung für diese Schwachstelle (CVE) liegt derzeit nicht vor.
Sicherheitsexperten von Kaspersky ordnen diese Aktivitäten einer ersten mehrstufigen Angriffskampagne zu, die gezielt auf DoFun-Geräte ausgerichtet ist. Die Hintermänner werden der sogenannten MoYu-Gruppe zugeschrieben, die auch unter dem Namen BadBox bekannt ist.
Der Angriff erfolgt in drei definierten Stufen: Zunächst wird ein per XOR-Verfahren entpackter Loader aktiv, der im zweiten Schritt die Registrierung bei einem Kontrollserver (C2) vornimmt. In der finalen Phase wird die Komponente „zhima“ nachgeladen, die für Klickbetrug und Proxy-Dienste verantwortlich ist.
Wer sich mit der Sicherheit von vernetzten Android-Systemen befasst, sollte die grundlegenden Einfallstore für Schadsoftware kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihre Android-Geräte effektiv vor Hackern und Viren schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Datensammlung und Werbebetrug im Hintergrund
Die identifizierte Schadsoftware, die unter Bezeichnungen wie JarService oder zhima geführt wird, operiert ohne grafische Benutzeroberfläche und bleibt somit für den Anwender unsichtbar. Zu den Hauptfunktionen gehören die Anzeige unerwünschter Werbung sowie die Durchführung von Werbebetrug. Parallel dazu findet eine systematische Erfassung von Gerätedaten statt.
In einem Rhythmus von 90 Minuten übermittelt das infizierte Radio sensible Informationen an einen externen Kontrollserver. Zu den übertragenen Datensätzen gehören die Bildschirmauflösung, die genaue Modellbezeichnung, die Kennung des genutzten WLAN-Netzwerks sowie die MAC-Adresse des Geräts. Damit ist eine detaillierte Profilbildung und Nachverfolgung der betroffenen Hardware möglich.
Einordnung durch das BSI und historische Tragweite
Die Bedrohung durch die BadBox-Kampagne ist in Deutschland bereits länger bekannt. Daten des Bundesamtes für Sicherheit in der Informationstechnik (BSI) belegen, dass diese Infrastruktur in der Vergangenheit signifikante Auswirkungen hatte.
In einem Zeitraum zwischen Juli 2024 und Juni 2025 machte BadBox bis zu 58 Prozent der infizierten Systeme in Deutschland aus. Das Amt griff bereits im Dezember 2024 aktiv ein und trennte bis zu 30.000 Geräte von der schädlichen Infrastruktur.
Trotz der Schwere der Sicherheitsmängel gibt es derzeit keine Hinweise darauf, dass die Malware Auswirkungen auf die unmittelbare Fahrzeugkontrolle hat. Die Funktionen scheinen auf die Ebene des Infotainment-Systems begrenzt zu sein. Der Hersteller DoFun hat auf die Berichte reagiert und mitgeteilt, dass die Problematik inzwischen behoben worden sei.
Veraltete Firmware und ignorierte Sicherheitsupdates machen Systeme oft erst zur Zielscheibe für Cyberkriminelle. Erfahren Sie in diesem kostenlosen Report, wie Sie durch das richtige Update-Management Sicherheitslücken dauerhaft schließen und Datenmissbrauch verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen
Regulatorischer Rahmen durch die Europäische Union
Der Vorfall unterstreicht die wachsende Bedeutung regulatorischer Vorgaben für vernetzte Geräte. Im Rahmen des EU Cyber Resilience Act (CRA) kommen in naher Zukunft verschärfte Anforderungen auf Hersteller zu.
Bereits ab dem 11. September 2026 greift eine umfassende Meldepflicht für Sicherheitsvorfälle. Die weiteren technischen und organisatorischen Anforderungen des Gesetzes müssen von den Unternehmen bis zum 11. Dezember 2027 vollständig umgesetzt werden, um die Sicherheit digitaler Produkte im europäischen Markt langfristig zu erhöhen.
