Android-Infotainment: Malware kapert 30 Millionen Fahrzeuge
Veröffentlicht am: 22.08.2026 um 14:42 Uhr | Redaktion boerse-global.de
Der Cybersicherheitsdienstleister Kaspersky berichtet über eine koordinierte Malware-Kampagne, die gezielt Android-basierte Infotainment-Systeme in Fahrzeugen ins Visier nimmt.
Nach aktuellen Erkenntnissen werden diese Systeme gekapert, um sie als Proxy-Server innerhalb eines globalen Botnetzes zu missbrauchen. Die Angreifer nutzen dabei die Internetverbindung der Fahrzeuge, um illegalen Datenverkehr zu verschleiern und betrügerische Aktivitäten durchzuführen.
Sicherheitslücke in Update-Software betrifft Millionen Fahrzeuge
Bereits im Juni dieses Jahres wurde die erste spezialisierte Malware für sogenannte Android-Head-Units entdeckt. Den Analysen zufolge erfolgt der Einbruch in die Fahrzeugsysteme über den TWCore-Update-Dienst des Herstellers DoFun. Die Tragweite dieser Schwachstelle ist erheblich: Branchenberichten zufolge ist die betroffene Software von DoFun in weltweit rund 30 Millionen Fahrzeugen verbaut.
Die Infektion der Systeme verläuft in mehreren technologisch aufeinander abgestimmten Schritten. Zunächst installiert die Schadsoftware eine Komponente namens JarService. In der Folge werden weitere Module nachgeladen, darunter ein Clicker-Modul sowie das sogenannte zhima-Modul.
Letzteres ist laut den Sicherheitsforschern maßgeblich für den Aufbau des Proxy-Botnetzes verantwortlich. Durch diese Struktur wird das Fahrzeug-Infotainment-System zu einem Teil einer ferngesteuerten Infrastruktur.
Da immer mehr Alltagsgeräte mit dem Internet verbunden sind, wächst das Risiko für unbemerkte Hackerangriffe auf persönliche Daten. In diesem kostenlosen PDF-Ratgeber erfahren Sie, mit welchen fünf Maßnahmen Sie Ihre Android-basierten Geräte wirksam absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Komplexer Steuerungsmechanismus und wirtschaftliche Motive
Die identifizierte Malware zeichnet sich durch eine hohe Funktionalität aus. Den Untersuchungen zufolge verfügt sie über neun spezifische Befehle, mit denen die Angreifer das infizierte System steuern können. Neben der Integration in das Botnetz sammelt die Software fortlaufend technische Daten von den betroffenen Geräten und übermittelt diese an die Hintermänner.
Als primäre Ziele der Kampagne identifizierten die Experten Klickbetrug (Ad Fraud) sowie den gewerblichen Betrieb von Residential-Proxy-Diensten. Bei letzterem werden die IP-Adressen privater Endgeräte – in diesem Fall der Fahrzeuge – vermietet, um die Herkunft von Internetanfragen zu anonymisieren.
Hinter der Operation werden Verbindungen zur BADBOX- beziehungsweise MoYu-Gruppe vermutet, die bereits in der Vergangenheit mit ähnlichen Aktivitäten in Verbindung gebracht wurde.
Hersteller reagiert mit Sicherheitsupdate
Für die betroffenen Fahrzeughalter gibt es inzwischen Maßnahmen zur Risikominimierung. Der Softwarehersteller DoFun hat auf die Entdeckung der Sicherheitslücke reagiert und die Schwachstelle im TWCore-Update-Dienst behoben.
Wer vernetzte Technik nutzt, sollte Sicherheitsupdates nicht dem Zufall überlassen, um keine Einfallstore für Malware zu öffnen. Dieser Gratis-Report zeigt Ihnen Schritt für Schritt, wie Sie automatische Updates richtig nutzen und Sicherheitslücken dauerhaft schließen. Kostenlosen Sicherheits-Ratgeber herunterladen
Experten weisen in diesem Zusammenhang auf die wachsende Bedeutung von Cybersicherheit im Automobilsektor hin, da Infotainment-Systeme aufgrund ihrer permanenten Internetverbindung zunehmend attraktive Ziele für Cyberkriminelle darstellen.
Die Entdeckung verdeutlicht, dass moderne Fahrzeuge als Teil des Internets der Dinge (IoT) die gleichen Sicherheitsrisiken bergen wie Smartphones oder Computer. Die Zweckentfremdung von Fahrzeugressourcen für Proxy-Dienste zeigt zudem eine Professionalisierung der Angreifer, die Infrastrukturen jenseits klassischer IT-Systeme für ökonomisch motivierte Cyberkriminalität erschließen.
