En firmwareopdatering bliver til en loader
Kaspersky-forsker Dmitry Kalinin dokumenterede den første malwarekampagne bygget specifikt til infotainmentenheder i biler, og indgangen er den opdateringskanal, som enhver ejer stoler på som standard. En komponent kaldet JarService fungerer som loader: den misbruger den indbyggede firmwareopdateringsmekanisme i DoFun-infotainmentsystemer, fremstillet af Shenzhen Driving Control Technology, til at hente en anden nyttelast ned på enheden. Fordi leveringsvejen er producentens egen opdateringsproces, ligner infektionen almindelig vedligeholdelse snarere end et angreb.
Når JarService har fået fodfæste, installerer den et proxy- og annoncesvindelmodul kaldet zhima. Fra det øjeblik er enheden ikke længere kun en infotainmentskærm; det er en lille, konstant forbundet computer, der kører kode, som ejeren aldrig har godkendt og næppe kan opdage. Bilens egen internetforbindelse, tiltænkt kort, streaming og diagnostik, bliver den ressource, der bliver solgt.
Bilen kører videre, fordi intet sikkerhedskritisk ændrer sig
Malwaren rører hverken styring, bremser eller andre sikkerhedskritiske køretøjssystemer, og netop den afgrænsning er, hvad der gør kampagnen så svær at få øje på. Den bevæger sig udelukkende inden for infotainment- og forbindelseslaget, den del af bilen, der er bygget til at tale med internettet, køre apps og modtage opdateringer. Føreren ser ingen advarselslampe, ingen ændret bremsereaktion, ingen grund til mistanke, fordi intet ændrer sig i den måde, bilen kører på.
Det er præcis det, der gør et botnet af hjemmeproxyer attraktivt for den, der driver det. En kompromitteret enhed, der stadig fungerer perfekt som enhed, forbliver værdifuld, så længe ingen bemærker det, og en bil, der aldrig opfører sig usikkert, giver ejeren ingen grund til at kigge, hverken bogstaveligt eller billedligt, på hvad netværksforbindelsen egentlig foretager sig i baggrunden.
Private ejere mærker det næppe, flåder og forhandlere bærer risikoen
Private bilejere er den mindst udsatte part i denne historie, fordi en enkelt kompromitteret bil kun er en knude tabt i et botnet af ukendt størrelse, og en lidt langsommere infotainmentskærm er let at afskrive som almindeligt slid. Vognparksoperatører og forhandlere bærer den reelle eksponering, fordi den samme DoFun-enhed, med den samme firmware, sidder bag instrumentbrættet i hvert eneste køretøj, de får fra den leverandør. En kompromitteret opdatering gør enhver bil bygget på den platform til en kandidat til samme infektion, ikke kun den enhed, der tilfældigvis blev inspiceret.
En forhandler, der tjekkede enhedens software en enkelt gang, ved levering, har ingen indsigt i, hvad der er ændret ved den tiende, tyvende eller hundrede over-the-air-opdatering siden. En vognparksoperatør med hundredvis af køretøjer arver samme blinde vinkel i stor skala: den kontrol, der virkede tilstrækkelig den første dag, siger intet om den firmware, der kører i dag.
BADBOX havde allerede en historik, før det fik hjul
BADBOX er ikke et nyt botnet opfundet til denne kampagne; Satori-forskerteamet hos HUMAN Security havde allerede afsløret det samme botnet af hjemmeproxyer på andre enhedstyper, herunder tv-bokse, længe før infotainmentenheder i biler blev et af dets mål. Mønsteret er konsistent på tværs af enhedstyper: kompromitteret hardware videresælger i det skjulte sin egen internetforbindelse som en hjemme-IP-adresse, netop den type, som annoncesvindeloperationer og andre købere af proxyer betaler for, fordi den ligner almindelig forbrugertrafik og ikke en datacenterserver.
Det, der ændrede sig med denne kampagne, som dokumenteret omkring den 21. og 22. august 2026, er enhedstypen, ikke forretningsmodellen. Et botnet bygget af tv-bokse og et bygget af bilenheder sælger begge det samme: båndbredde og IP-omdømme stjålet fra enheder, hvis ejere stadig tror, de kun arbejder for dem.
Løsningen ligger i at auditere opdateringskæden, ikke bilforhandleren
Leverandørens opdateringspipeline, ikke bilen der står på forhandlerens plads, er der, hvor denne kampagne reelt lever, fordi JarService kom ind gennem DoFuns egen opdateringsmekanisme og ikke gennem nogen handling fra føreren eller forhandleren. At auditere enhedens software en enkelt gang, ved salg, tjekker kun et øjebliksbillede, der allerede er forældet, så snart den første over-the-air-opdatering ankommer. Den, der kompromitterer leverandørens opdateringskanal, får en varig adgang i hvert efterfølgende køretøj, i det stille, og at genkontrollere enheden efter levering lukker ikke den kanal.
Læren rækker ud over denne ene kampagne: enhver vognpark eller forhandler, der behandler køretøjssoftware som en engangs-sikkerhedsinspektion, stoler på en forsyningskæde, den aldrig reelt har efterprøvet. Løsningen er ikke et bedre scan af bilen på pladsen; det er løbende kontrol af selve opdateringspipelinen, ved hvert eneste push, så længe køretøjet forbliver forbundet.
Læs videre: Apples egen succes sprængte forsyningsplanen | En Pac-Man-app satte fremmede på dit netværk
