Android-Malware: Kaspersky warnt vor Infotainment-Angriffen via Update
Veröffentlicht am: 22.08.2026 um 23:41 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Kaspersky haben eine Schadsoftware identifiziert, die gezielt Android-basierte Head-Units des Herstellers DoFun infiziert. Die Malware verbreitet sich über die Update-Funktion TWCore, die eigentlich für die Aktualisierung der Infotainmentsysteme in Fahrzeugen vorgesehen ist. DoFun hat die zugrunde liegende Sicherheitslücke in der TWCore-Update-Funktion mittlerweile behoben.
Dreistufige Angriffskette
Die Infektion läuft laut den Erkenntnissen von Kaspersky in mehreren Schritten ab. Zunächst kommt ein sogenannter JarService-Dropper zum Einsatz, gefolgt von einem Loader sowie einer Komponente, die als Clicker und Reverse-Proxy fungiert. Der JarService-Dropper installiert dabei ein Modul namens "zhima", das für Werbebetrug sowie den Betrieb eines Proxy-Botnetzes genutzt wird.
Nach der Infektion meldet sich der JarService bei einem Command-and-Control-Server und fragt in einem Takt von 90 Minuten nach neuen Befehlen. Laut Kaspersky unterstützt der JarService-Dropper insgesamt neun verschiedene Befehle, mit denen sich das kompromittierte System fernsteuern lässt.
Funktionsumfang der Schadsoftware
Die Malware ist in der Lage, unerwünschte Werbung einzublenden, Klickbetrug im großen Stil auszuführen, Gerätedaten der betroffenen Fahrzeug-Infotainmentsysteme zu sammeln und zusätzliche Schadsoftware nachzuladen. Damit dient das infizierte System nicht nur als Werkzeug für Werbebetrug, sondern kann auch als Einfallstor für weitere Angriffe missbraucht werden.
Wer sich mit der Sicherheit vernetzter Android-Systeme befasst, sollte die grundlegenden Schutzmechanismen gegen Malware und Fernsteuerung kennen. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Android-Geräte effektiv gegen Hacker absichern. 5 Schutzmaßnahmen jetzt entdecken
Zuordnung zu bekannten Bedrohungsakteuren
Kaspersky ordnet die entdeckte Kampagne der sogenannten MoYu Group beziehungsweise dem BADBOX-Botnetz zu, das in der Sicherheitsbranche bereits länger als Bedrohung für Android-basierte Geräte bekannt ist.
Zudem stellten die Forscher Verbindungen zu den Residential-Proxy-Diensten PXYEDGE und ProxyForU fest. Solche Dienste bieten üblicherweise IP-Adressen kompromittierter Geräte an, um den Datenverkehr Dritter zu verschleiern – ein Geschäftsmodell, das eng mit Botnetz-Infrastrukturen wie BADBOX verknüpft ist.
Die Manipulation von Update-Prozessen zeigt deutlich, wie wichtig proaktive Sicherheitsstrategien für alle Android-basierten Endgeräte geworden sind. Erfahren Sie in diesem gratis PDF-Report, wie Sie durch die richtigen Einstellungen und regelmäßige Updates Datenverlust und Malware dauerhaft verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen
Bedeutung für vernetzte Fahrzeuge
Der Fund zeigt, dass Angriffsflächen im Automobilbereich längst nicht mehr auf klassische Bordcomputer beschränkt sind. Infotainmentsysteme, die zunehmend auf Android-Basis laufen und über Update-Mechanismen mit dem Internet verbunden sind, geraten damit stärker in den Fokus von Cyberkriminellen.
Die Tatsache, dass die Verbreitung über eine eigentlich vertrauenswürdige Update-Funktion erfolgte, unterstreicht die Notwendigkeit robuster Sicherheitsprüfungen bei der Software-Lieferkette von Fahrzeugherstellern und ihren Zulieferern.
