Ihr Auto arbeitet jetzt für ein Botnetz

Ein Firmware-Updater wird zum Loader

Kaspersky-Forscher Dmitry Kalinin dokumentierte die erste Malware-Kampagne, die gezielt auf Kfz-Infotainmentsysteme zugeschnitten ist, und ihr Einfallstor ist der Update-Kanal, dem jeder Fahrzeughalter automatisch vertraut. Eine Komponente namens JarService fungiert als Loader: Sie missbraucht die eingebaute Firmware-Update-Funktion von DoFun-Infotainmentsystemen, hergestellt von Shenzhen Driving Control Technology, um eine zweite Schadkomponente auf das Gerät zu laden. Weil der Verbreitungsweg der eigene Update-Prozess des Herstellers ist, wirkt die Infektion wie eine ganz normale Wartung.

Sobald JarService sich festgesetzt hat, installiert es ein Proxy- und Anzeigenbetrugsmodul namens zhima. Von diesem Moment an ist das Steuergerät nicht mehr nur ein Infotainment-Bildschirm, sondern ein kleiner, ständig verbundener Computer, der Code ausführt, den der Besitzer nie genehmigt hat und kaum entdecken kann. Die eigene Internetverbindung des Autos, gedacht für Karten, Streaming und Diagnose, wird zur Ressource, die verkauft wird.

Das Auto fährt weiter, weil nichts Sicherheitskritisches sich ändert

Die Malware erreicht weder Lenkung noch Bremsen noch andere sicherheitskritische Fahrzeugsysteme, und genau diese Eingrenzung macht die Kampagne so schwer zu bemerken. Sie bewegt sich ausschließlich in der Infotainment- und Verbindungsschicht, jenem Teil des Autos, der mit dem Internet spricht, Apps ausführt und Updates entgegennimmt. Der Fahrer sieht keine Warnleuchte, keine veränderte Bremsreaktion, keinen Grund zum Verdacht, weil sich am Fahrverhalten selbst nichts ändert.

Genau das macht ein Botnetz aus residenziellen Proxys für seine Betreiber attraktiv. Ein kompromittiertes Steuergerät, das weiterhin einwandfrei als Steuergerät funktioniert, ist so lange wertvoll, wie niemand es bemerkt, und ein Auto, das sich nie unsicher verhält, gibt seinem Besitzer keinen Anlass, im Hintergrund nachzusehen, was die Netzwerkverbindung tatsächlich tut.

Einzelne Halter merken kaum etwas, Flotten und Händler tragen das Risiko

Einzelne Fahrzeughalter sind die am wenigsten exponierte Partei in dieser Geschichte, weil ein einzelnes kompromittiertes Auto nur ein Knoten in einem Botnetz unbekannter Größe ist, und ein etwas langsamerer Infotainment-Bildschirm lässt sich leicht als normaler Verschleiß abtun. Flottenbetreiber und Autohändler tragen die eigentliche Belastung, denn dasselbe DoFun-Steuergerät mit derselben Firmware steckt hinter dem Armaturenbrett jedes Fahrzeugs, das sie von diesem Zulieferer beziehen. Ein kompromittiertes Update bedeutet, dass jedes auf dieser Plattform gebaute Auto zum Kandidaten für dieselbe Infektion wird, nicht nur das eine Fahrzeug, das zufällig geprüft wurde.

Ein Autohaus, das die Steuergeräte-Software einmal bei der Auslieferung geprüft hat, hat keinen Einblick mehr darin, was sich beim zehnten, zwanzigsten oder hundertsten Over-the-Air-Update seitdem verändert hat. Ein Flottenbetreiber mit hunderten Fahrzeugen erbt denselben blinden Fleck im großen Maßstab: Die Prüfung, die am ersten Tag ausreichend wirkte, sagt nichts darüber aus, welche Firmware heute läuft.

BADBOX hatte schon eine Vorgeschichte, bevor es Räder bekam

BADBOX ist kein neues Botnetz, das eigens für diese Kampagne erfunden wurde. Das Satori-Forschungsteam von HUMAN Security hatte dasselbe Botnetz aus residenziellen Proxys bereits auf anderen Geräteklassen entdeckt, darunter TV-Set-Top-Boxen, lange bevor Kfz-Infotainmentsysteme zu einem seiner Ziele wurden. Das Muster ist über Geräteklassen hinweg konsistent: kompromittierte Hardware verkauft still ihre Internetverbindung als residenzielle IP-Adresse weiter, genau jene Art, für die Anzeigenbetrug-Operationen und andere Proxy-Käufer zahlen, weil sie wie gewöhnlicher Verbraucher-Datenverkehr aussieht und nicht wie ein Rechenzentrums-Server.

Was sich mit dieser Kampagne änderte, wie um den 21. und 22. August 2026 dokumentiert, ist die Geräteklasse, nicht das Geschäftsmodell. Ein Botnetz aus Fernseh-Boxen und eines aus Auto-Steuergeräten verkaufen beide dasselbe: Bandbreite und IP-Reputation, gestohlen von Geräten, deren Besitzer weiterhin glauben, dass sie ausschließlich für sie arbeiten.

Die Lösung liegt in der Prüfung der Update-Kette, nicht auf dem Verkaufsplatz

Die Update-Pipeline des Zulieferers, nicht das Auto auf dem Hof des Händlers, ist der eigentliche Schauplatz dieser Kampagne, weil JarService über den eigenen Firmware-Update-Mechanismus von DoFun eindrang und nicht über eine Handlung, die Fahrer oder Händler selbst vorgenommen hätten. Die Steuergeräte-Software einmal bei Verkauf zu prüfen, kontrolliert nur eine Momentaufnahme, die spätestens mit dem ersten Over-the-Air-Update wieder veraltet ist. Wer den Update-Kanal des Zulieferers kompromittiert, erhält einen dauerhaften Fuß in jedem nachgelagerten Fahrzeug, still und leise, und eine erneute Prüfung nach der Auslieferung schließt diesen Kanal nicht.

Die Lehre reicht über diese eine Kampagne hinaus: Jede Flotte oder jeder Händler, der Fahrzeugsoftware wie eine einmalige Sicherheitsinspektion behandelt, vertraut einer Lieferkette, die nie wirklich geprüft wurde. Die Lösung ist nicht ein besserer Scan des Autos auf dem Hof, sondern die laufende Prüfung der Update-Pipeline selbst, bei jedem einzelnen Push, solange das Fahrzeug verbunden bleibt.

Weiterlesen: Apples eigener Erfolg sprengte den Lieferplan  |  Eine Pac-Man-App holte Fremde in Ihr Netz