Botnetz aus Autos: Fahrzeug-Infotainmentsysteme mit Malware infiziert

Was geschehen ist: Die Entdeckung eines mobilen Botnetzes

Sicherheitsforscher des Unternehmens Kaspersky haben eine besorgniserregende Entdeckung im Bereich der Automobil-IT gemacht. Es wurde eine spezialisierte Android-Malware identifiziert, die gezielt Infotainmentsysteme in Fahrzeugen angreift. Der Vorfall ereignete sich durch die gezielte Ausnutzung einer Schwachstelle in der Firmware-Updatefunktion von Headunits, die vom chinesischen Hersteller Dofun produziert werden. Die Schadsoftware, die von den Experten analysiert wurde, ermöglicht es den Angreifern, die betroffenen Systeme in ein Botnetz einzubinden. Dabei handelt es sich um eine Form der digitalen Infektion, bei der die Fahrzeugeinheiten ohne das Wissen der Besitzer als Knotenpunkte für illegale Aktivitäten fungieren. Die Entdeckung verdeutlicht, dass die zunehmende Vernetzung von Fahrzeugen neue Angriffsflächen für Cyberkriminelle bietet. Die Forscher konnten den gesamten Infektionsweg nachvollziehen, der über eine eigentlich harmlose Systemanwendung für die Wartung der Geräte verlief. Der Vorfall unterstreicht die Notwendigkeit, auch bei Fahrzeugkomponenten, die nicht unmittelbar die Fahrsicherheit betreffen, höchste Sicherheitsstandards bei der Softwarepflege und den Update-Prozessen einzuhalten, um solche großflächigen Manipulationen in Zukunft effektiv verhindern zu können.

Die Einzelheiten der Infektion und die technische Umsetzung

Im Zentrum der Untersuchung steht die Systemanwendung namens TWCore, die auf den Headunits des Herstellers Dofun installiert ist. Die primäre Aufgabe dieser App ist die Erfassung von Analysedaten sowie die Durchführung von Updates für die Betriebssoftware der Infotainmentsysteme. Die Anweisungen für diese Prozesse bezieht die App direkt von einem Server des Herstellers. Die Angreifer haben diesen Mechanismus gezielt missbraucht, um Schadcode einzuschleusen. Dabei wurde ein sogenannter Malware-Dropper namens Jarservice entdeckt, der den mehrstufigen Infektionsprozess einleitete. Nach der erfolgreichen Installation agiert die Malware als versteckte Android-Applikation, die über keinerlei grafische Benutzeroberfläche verfügt und somit für den Nutzer im Hintergrund verborgen bleibt. Die Schadsoftware empfängt Befehle von den Angreifern, um lokale Daten des Geräts auszuspähen, weitere schädliche Komponenten nachzuladen oder unerwünschte Werbeeinblendungen auf den Bildschirmen der Infotainmentsysteme zu generieren. Die Hintermänner, eine Cybergruppierung namens Moyo, nutzen diese Kapazitäten, um sich durch Werbebetrug und den Betrieb eines Proxy-Botnetzes finanziell zu bereichern. Es gibt bisher keine Hinweise darauf, dass die Malware in der Lage ist, kritische Fahrzeugfunktionen wie Bremsen oder Lenkung zu beeinflussen.

Hintergrund und bisheriger Verlauf der Bedrohung

Die Analyse der Kaspersky-Experten förderte zudem eine Verbindung zur sogenannten Badbox-Kampagne zutage. Bei der Badbox-Malware handelt es sich um eine Schadsoftware, die in der Vergangenheit vor allem auf kostengünstigen Android-Geräten wie Tablets, Smartphones oder Streaming-Boxen vorinstalliert war. Diese Kampagne ist in Sicherheitskreisen bereits bekannt, da sie ebenfalls für Werbebetrug und zur Bereitstellung von Proxydiensten für kriminelle Zwecke genutzt wurde. Die Tatsache, dass nun auch Fahrzeug-Infotainmentsysteme in dieses Schema passen, deutet auf eine Ausweitung der Aktivitäten der Moyo-Gruppe hin. Der Hersteller Dofun hat nach Bekanntwerden der Sicherheitslücke reagiert und die Verbreitung der Schadsoftware über seine Server unterbunden. Die Untersuchung zeigt, dass die Angreifer gezielt nach Schwachstellen in den Update-Infrastrukturen gesucht haben, um eine breite Basis für ihre Botnetz-Struktur zu schaffen. Die Entwicklung von einer reinen Bedrohung für Unterhaltungselektronik hin zu fest verbauten Fahrzeugkomponenten markiert eine neue Eskalationsstufe in der Verbreitung dieser spezifischen Malware-Familie, die nun durch die Integration in Dofun-Headunits eine neue Zielgruppe erreicht hat.

Die Beteiligten: Akteure und betroffene Institutionen

Die Sicherheitsforscher von Kaspersky spielen die zentrale Rolle bei der Aufdeckung und Analyse der Bedrohung. Sie haben die technische Infrastruktur der Malware untersucht und die Verbindungen zur Badbox-Kampagne hergestellt. Auf der anderen Seite steht der chinesische Hersteller Dofun, dessen Infotainmentsysteme als Einfallstor dienten. Dofun ist für die Bereitstellung der Firmware-Updates verantwortlich und hat nach den Berichten der Sicherheitsforscher Maßnahmen ergriffen, um die Verbreitung der Malware über seine Server zu stoppen. Die Moyo-Gruppe wird als die hinter der Malware stehende Cybergruppierung identifiziert, die für die Steuerung der infizierten Geräte und die monetäre Verwertung durch Werbebetrug verantwortlich ist. Die Nutzer der betroffenen Fahrzeuge sind die indirekt Geschädigten, deren Hardware für kriminelle Zwecke missbraucht wurde. Es gibt keine Informationen über weitere beteiligte Fahrzeughersteller oder Zulieferer, die über die Marke Dofun hinausgehen, was die Reichweite des Vorfalls auf die spezifischen Headunits dieses Anbieters begrenzt.

Einordnung der Sicherheitslage bei vernetzten Fahrzeugen

Einzuordnen ist das so: Der Vorfall zeigt, dass die Sicherheit von Fahrzeug-Infotainmentsystemen eine wachsende Herausforderung darstellt. Obwohl die Malware laut den Berichten der Experten keine kritischen Fahrzeugfunktionen wie die Motorsteuerung oder die Bremsen beeinträchtigt, ist die bloße Existenz eines Botnetzes in einem Fahrzeug problematisch. Die Forscher betonen, dass die Malware primär auf den finanziellen Gewinn durch Werbebetrug und Proxy-Dienste abzielt. Dennoch stellt der unbefugte Zugriff auf die Hardware der Headunits ein erhebliches Sicherheitsrisiko dar, da diese Systeme oft mit persönlichen Daten der Nutzer verknüpft sind, etwa durch die Kopplung von Smartphones via Bluetooth oder WLAN. Die Ausnutzung von Update-Mechanismen ist eine besonders perfide Methode, da sie den Anschein von Seriosität erweckt und vom Nutzer kaum zu durchschauen ist. Die Verbindung zur Badbox-Kampagne verdeutlicht zudem, dass Cyberkriminelle ihre Strategien und Schadcodes effizient über verschiedene Geräteklassen hinweg skalieren können, sobald sie eine funktionierende Infrastruktur für ihre kriminellen Zwecke etabliert haben.

Offene Fragen und verbleibende Unsicherheiten

Der Quelltext lässt einige Fragen offen, die für die betroffenen Fahrzeughalter von hoher Relevanz sein könnten. Es wird beispielsweise nicht explizit benannt, welche spezifischen Fahrzeugmodelle oder Marken die Headunits von Dofun verbaut haben. Auch bleibt unklar, wie viele Fahrzeuge weltweit tatsächlich von der Infektion betroffen waren, bevor der Hersteller die Verbreitung unterband. Ebenso fehlen Informationen darüber, ob und wie betroffene Nutzer ihre Systeme aktiv bereinigen können, falls ihr Fahrzeug bereits infiziert wurde. Der Bericht erwähnt zwar, dass der Hersteller die Verbreitung gestoppt hat, doch ob dies eine automatische Entfernung der Malware von bereits infizierten Geräten zur Folge hat oder ob ein manueller Eingriff in der Werkstatt notwendig ist, geht aus dem Text nicht hervor. Zudem bleibt offen, ob die Moyo-Gruppe noch weitere Einfallstore in der Firmware von Dofun gefunden hat oder ob die Sicherheitslücke in der TWCore-App vollständig geschlossen wurde. Diese Lücken in der Informationslage lassen eine abschließende Bewertung des Gefahrenpotenzials für die betroffenen Fahrzeugbesitzer schwierig erscheinen.

Wie es weitergeht: Maßnahmen und offene Schritte

Die unmittelbare Verbreitung der Malware über die Server von Dofun wurde den Angaben zufolge unterbunden. Dies stellt einen ersten, wichtigen Schritt dar, um die weitere Infektion von Fahrzeugen zu verhindern. Da der Hersteller die Verbreitung gestoppt hat, ist davon auszugehen, dass keine neuen Infektionen über den bekannten Update-Weg mehr stattfinden. Ob weitere Sicherheitsupdates für die betroffenen Headunits geplant sind, um die Schwachstellen in der TWCore-App dauerhaft zu schließen, wurde im Quelltext nicht explizit genannt. Ebenso gibt es keine Informationen über eine offizielle Rückrufaktion oder eine direkte Benachrichtigung der betroffenen Fahrzeughalter. Die Sicherheitsforscher von Kaspersky haben ihre Analyse veröffentlicht, was in der Branche üblicherweise dazu führt, dass weitere Sicherheitsanalysen folgen und die betroffenen Unternehmen unter Druck geraten, ihre Software-Architektur zu prüfen. Es bleibt abzuwarten, ob weitere Details zur technischen Bereinigung der infizierten Geräte bekannt gegeben werden oder ob der Hersteller Dofun eine Stellungnahme zu den Vorfällen und den daraus resultierenden Sicherheitsverbesserungen abgeben wird.