DoFun-Head-Units: Kaspersky findet Schadsoftware im offiziellen Update

Sicherheitsforscher von Kaspersky haben im Juni 2026 bösartige Software auf Android-Head-Units des Herstellers DoFun identifiziert. Die Schadprogramme wurden über den herstellereigenen System-Updater auf die Infotainmentsysteme aufgespielt, wie theautowire.com in einem Bericht vom 27. Oktober 2026 darlegte. Bereits am 21. August 2026 hatte Kaspersky einen detaillierten Bericht über die betroffenen Geräte veröffentlicht.

Einfallstor über herstellereigene Update-Routine

Die Infektion der DoFun-Geräte erfolgte über die vorinstallierte Systemanwendung TWCore, die als Aktualisierungsdienst fungiert. Diese Anwendung bezog ihre Instruktionen von einem MQTT-Broker, der auf einem Server unter der Internetadresse cardoor.cn gehostet war. Eine systemspezifische Einstellung namens installNotExists ermöglichte es dabei, zuvor auf dem System nicht vorhandene Programme eigenständig nachzuladen und einzurichten.

Als erste Stufe der Kompromittierung diente nach Erkenntnissen der Analysten ein sogenannter Dropper namens JarService, der ohne Benutzeroberfläche im Hintergrund operierte. Dieser lud im weiteren Verlauf eine zweite Komponente herunter, welche wiederum eine dritte Stufe auf das jeweilige Gerät übertrug. Diese finale Stufe nahm standardmäßig in einem Intervall von 90 Minuten Kontakt mit dem Steuerungsserver auf. Dabei übermittelte die Schadsoftware grundlegende Telemetriedaten des Fahrzeugsystems, darunter die Displayauflösung, das Gerätemodell, den Namen des verbundenen WLAN-Netzwerks sowie die MAC-Adresse der Einheit.

Der Vorfall zeigt deutlich, wie verwundbar Android-basierte Systeme durch Sicherheitslücken in der Update-Routine werden können. Dieser kostenlose Ratgeber erklärt Ihnen in 5 einfachen Schritten, wie Sie Ihr Gerät effektiv vor Malware und Hackerangriffen schützen. Android-Sicherheits-Ratgeber jetzt kostenlos herunterladen

Klickbetrug und Verbindungen zum BADBOX-Botnet

Die Analyse der Steuerungsarchitektur brachte insgesamt neun mögliche Kommandos ans Licht, von denen die Angreifer mindestens zwei aktiv einsetzten. Ein Befehl diente dem Nachladen des Reverse-Proxy-Moduls zhima.

Ein weiterer Befehl wies das System an, Webseiten sowie JavaScript-Code aufzurufen, um Werbe- und Klickbetrug durchzuführen. Das Modul zhima ist in der IT-Sicherheitsbranche bereits bekannt: Analysten von Nokia Deepfield hatten dieselbe Softwarekomponente zuvor auch auf TV-Set-Top-Boxen nachgewiesen.

Wer sich mit der Sicherheit seiner mobilen Endgeräte befasst, sollte die Risiken durch manipulierte Anwendungen nicht unterschätzen. Erfahren Sie in diesem gratis PDF-Paket, mit welchen Maßnahmen Sie den Schutz Ihrer Daten sofort deutlich erhöhen können. 5 Schutzmaßnahmen für Android-Nutzer entdecken

Kaspersky ordnet die beobachteten Aktivitäten einer Gruppe mit dem Namen MoYu zu. Die Forscher sehen eine Verbindung mit hoher Konfidenz zu dem bekannten BADBOX-Botnet. Weder im ursprünglichen Sicherheitsbericht noch in den aktuellen Auswertungen werden konkrete Opferzahlen oder geografische Schwerpunkte der betroffenen Fahrzeuge genannt. Der Hersteller DoFun teilte indes mit, dass die Schwachstelle behoben worden sei.