LONDON (IT BOLTWISE) – Eine neue Malware-Familie richtet sich gezielt gegen Android-basierte Fahrzeug-Head-Units. Sie nutzt die in der Firmware eingebauten Update-Mechanismen, um als APK getarnt zu starten und anschließend weitere Module nachzuladen. Laut den Forschern steckt dahinter eine mehrstufige Architektur, die Werbe-Manipulation und den Aufbau eines Proxy-Botnet fördert. Entscheidend ist dabei die Kette bis ins Kommando-und-Kontroll-System mit periodischen Konfigurations-Updates.
Android-basierte Fahrzeug-Head-Units sind für Angreifer plötzlich noch attraktiver als bisher: Nicht weil die Geräte „besonders offen“ wären, sondern weil sie Funktionen bündeln, die in der Praxis selten wie klassisches Unternehmens-Endpoint-Security behandelt werden. In den beschriebenen Fällen geht es um Firmware für Fahrzeug-Infotainment-Systeme des Herstellers DoFun. Genau diese Firmware enthält in das System integrierte Update-Wege, die normalerweise dafür gedacht sind, Softwarestände zu aktualisieren. Die neue Malware setzt an dieser Stelle an und nutzt den legitimen Update-Prozess als Einfallstor – damit wird aus „Software-Aktualisierung“ effektiv eine Lieferkette für Schadsoftware.
Die Sicherheitsuntersuchung ordnet die Bedrohung als mehrstufigen Downloader ein, dessen Endziel Adbetrug und der Aufbau eines Proxy-Botnet ist. Kaspersky habe die Kampagne im Juni 2026 entdeckt und dabei beschrieben, dass die Verbreitung über die eingebauten Updater der Android-basierten Head-Unit-Firmware erfolge. Dmitry Kalinin betonte dabei in den vorliegenden Angaben: „The malware spread through the built-in updaters of Android-based automotive head unit firmware.“ Laut der Auswertung handelt es sich zugleich um den ersten dokumentierten Fund, bei dem die Infektionskette explizit auf dieses Gerätetyp-Ökosystem zugeschnitten ist. Der Sprung in die reale Angriffsfläche ergibt sich vor allem daraus, dass Android-powered Head-Units sowohl in Nachrüstlösungen (Aftermarket) als auch in werksseitig verbauten Systemen verbreitet sind und damit eine große Menge kompatibler Apps und damit auch potenzieller Angriffsflächen mitbringen.
Technisch betrachtet fällt auf, wie der Angriff die Vertrauensannahmen im System ausnutzt. Als Ausgangspunkt dient eine „legitime“ System-App mit dem Namen TWCore (Package „com.tw.core“). Diese App sammle Analytics und aktualisiere die Software der Head-Unit in Form von APK-Dateien – allerdings über einen MQTT Message Broker, der auf einem Subdomain-Namespace namens „cardoor[.]cn“ betrieben wird. Der Download der APK-Datei erfolge in einen Pfad wie „/push/apk/“, von dem aus die Installation startet. Das Kerndesign der Malware ist dabei nicht nur „malware installieren“, sondern das Updater-Modul gezielt so zu missbrauchen, dass es bislang unbekannte Module ausliefert. Für die spätere Nachladephase wird ein Dropper namens JarService genutzt, der eine Loader-Komponente anstößt und dabei Informationen per HTTP POST an Server der Angreifer sendet.
Von dort aus steuert die Angreifer-Seite die nächste Stufe über eine serverseitig zurückgelieferte Download-Referenz. Als Beispiel wird ein Payload-Pfad genannt: „144.217.243[.]201/vr34der34/dex3.68.png“. Auffällig ist die Namensstruktur: Der Payload-Name enthält eine Versionsnummer („dex3.68“). Dadurch kann Kaspersky sieben unterschiedliche Varianten allein dadurch ableiten, dass mit weiteren Versionsnummern („3.57“ bis zu anderen Werten) alternative Varianten ausprobiert werden. Das zeigt ein typisches Muster bei Multi-Variant-Loadern: Die Angreifer passen die Payload selektiv an, während die Infektionskette für die Zielumgebung konstant bleibt. Am Ende wird die eigentliche Schad-App als reguläre User-Anwendung installiert – jedoch ohne sichtbare Benutzeroberfläche und mit unauffälligem Hintergrundbetrieb.
Im Hintergrund kommuniziert die Trojaner-App anschließend regelmäßig mit einem Command-and-Control-Endpoint. Laut den Angaben sendet sie standardmäßig alle 90 Minuten eine POST-Anfrage an „/cpc/api/task“ – inklusive Informationen zum infizierten Gerät und zu einer Konfigurationsversion. Der C2-Server liefere entweder eine aktualisierte Konfiguration mit neuen C2-Adressen und neuen Request-Pfaden zurück, oder er gibt integerartige Befehls-IDs aus, die die Angreifer als „productId“ bezeichnen. Die App ordnet diese IDs anschließend konkreten Kommandodaten zu und speichert sie als serialisiertes JSON-Objekt über das Android-API SharedPreferences. Damit lassen sich die späteren Aktionen modular umschalten, ohne dass jedes Mal ein kompletter App-Wechsel erforderlich ist.
Zu den beschriebenen Funktionen gehören neun Befehle, die in Richtung unerwünschter Werbung, Adbetrug und das Nachladen weiterer Module gehen. Außerdem kann die Schadsoftware umfangreiche Gerätedaten abfragen, darunter Bildschirmauflösung, Geräte-Modell, die Kennung eines verbundenen WLANs sowie die MAC-Adresse. Die Liste der Kommandos reicht von „return“ (Rückgabe aus SharedPreferences) über „copy“ (Zwischenablageinhalte setzen) bis „http“ (HTTP POST/GET Requests auf definierte Ressourcen). Daneben existieren „web“ (WebView öffnen und beliebigen JavaScript-Code ausführen) sowie mehrere „loadlib“-Varianten, wobei „loadlib2“ als vollständig implementiert beschrieben wird, während „loadlib“ und „loadlib3“ (teilweise) noch nicht vollständig umgesetzt seien. Zusätzlich werden ein „deeplink“-Befehl zum Öffnen von URLs im Browserkontext sowie ein „traceroute“-ähnliches Vorgehen zum Prüfen der Erreichbarkeit per ICMP-Ping genannt.
Eine besonders relevante Brücke zum Marktproblem Adbetrug ist die Verbindung zu „zhima“, einem Reverse-Proxy-Modul, das bereits durch eine Notfallreaktionsdokumentation eines Telemetrie-Anbieters für Netzwerke beschrieben worden sei. In der hier betrachteten Kampagne werde „zhima“ selektiv über IPTV-Apps ausgeliefert, die in günstigen Android-TV-Boxen installiert seien. Das Muster passt damit zu einem breiteren Missbrauchs-Ökosystem: Schadcode wird nicht nur im „klassischen“ Smartphone-Umfeld verteilt, sondern über Medien- und Geräteklassen, die in Haushalten schnell in Betrieb gehen und oft nur geringe Security-Überprüfungen haben. Gleichzeitig betonen die Ermittler, dass selbst nach dem Versuch, das BADBOX-Botnet zu stoppen, einzelne Akteure weiterhin aktiv seien und weltweit Geräte infizieren. In den vorliegenden Angaben wird außerdem beschrieben, dass Google im Juli 2025 eine Klage gegen 25 namentlich nicht genannte Personen oder Einheiten in China eingereicht habe; nach den Angaben der Klage gehe es dabei um den Betrieb des BADBOX-Botnet und der dazugehörigen Infrastruktur. Für Unternehmen und Fahrzeugflotten bedeutet das: Die nächsten Angriffsversuche werden wahrscheinlich nicht bei einzelnen Apps ansetzen, sondern bei vertrauenswürdigen Update- und Integrationspfaden im Fahrzeug, weil genau dort die stärkste Prozessgläubigkeit im Feld entsteht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Android-Car-Headunit-Malware nutzt Update-Kette für Adbetrug und Proxy-Botnet" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Android-Car-Headunit-Malware nutzt Update-Kette für Adbetrug und Proxy-Botnet" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Android-Car-Headunit-Malware nutzt Update-Kette für Adbetrug und Proxy-Botnet« bei Google Deutschland suchen, bei Bing oder Google News!