Een firmware-updater wordt een loader
Kaspersky-onderzoeker Dmitry Kalinin documenteerde de eerste malwarecampagne die specifiek is ontworpen voor infotainmentsystemen in auto's, en het toegangspunt is het updatekanaal dat elke eigenaar standaard vertrouwt. Een onderdeel genaamd JarService fungeert als loader: het misbruikt het ingebouwde firmware-updatemechanisme van DoFun-infotainmentsystemen, gemaakt door Shenzhen Driving Control Technology, om een tweede lading op het apparaat te plaatsen. Omdat de verspreidingsweg het eigen updateproces van de fabrikant is, oogt de infectie als gewoon onderhoud en niet als een aanval.
Zodra JarService voet aan de grond heeft, installeert het een proxy- en advertentiefraudemodule genaamd zhima. Vanaf dat moment is de eenheid niet langer alleen een infotainmentscherm; het is een kleine, permanent verbonden computer die code uitvoert die de eigenaar nooit heeft goedgekeurd en die hij nauwelijks kan opmerken. De eigen internetverbinding van de auto, bedoeld voor kaarten, streaming en diagnose, wordt de bron die wordt doorverkocht.
De auto blijft rijden omdat niets veiligheidskritisch verandert
De malware raakt sturing, remmen of enig ander veiligheidskritisch voertuigsysteem niet, en juist die begrenzing maakt de campagne zo moeilijk op te merken. Ze beweegt zich volledig binnen de infotainment- en connectiviteitslaag, het deel van de auto dat is gebouwd om met internet te praten, apps te draaien en updates te accepteren. De bestuurder ziet geen waarschuwingslampje, geen andere remrespons, geen reden tot argwaan, omdat er niets verandert aan hoe de auto rijdt.
Dat is precies wat een botnet van residentiële proxy's aantrekkelijk maakt voor wie het beheert. Een gecompromitteerde eenheid die nog altijd feilloos werkt als eenheid, blijft waardevol zolang niemand het merkt, en een auto die zich nooit onveilig gedraagt geeft de eigenaar geen enkele reden om, letterlijk of figuurlijk, te kijken wat de netwerkverbinding op de achtergrond doet.
Particuliere eigenaren merken er weinig van, vloten en dealers dragen het risico
Particuliere eigenaren zijn de minst blootgestelde partij in dit verhaal, omdat een enkele gecompromitteerde auto slechts een knooppunt is verloren in een botnet van onbekende omvang, en een iets tragere infotainmentscherm wordt makkelijk afgedaan als gewone slijtage. Wagenparkbeheerders en dealers dragen het echte risico, omdat dezelfde DoFun-eenheid, met dezelfde firmware, achter het dashboard zit van elk voertuig dat zij van die leverancier betrekken. Een gecompromitteerde update maakt elke auto die op dat platform is gebouwd tot kandidaat voor dezelfde infectie, niet alleen de eenheid die toevallig werd geïnspecteerd.
Een dealer die de software van de eenheid slechts eenmaal heeft gecontroleerd, bij levering, heeft geen zicht meer op wat er sindsdien is veranderd bij de tiende, twintigste of honderdste over-the-air-update. Een wagenparkbeheerder met honderden voertuigen erft diezelfde blinde vlek op grotere schaal: de controle die op dag een voldoende leek, zegt niets over de firmware die vandaag draait.
BADBOX had al een geschiedenis voordat het wielen kreeg
BADBOX is geen nieuw botnet dat voor deze campagne is uitgevonden; het Satori-onderzoeksteam van HUMAN Security had hetzelfde botnet van residentiële proxy's al eerder blootgelegd op andere apparaatklassen, waaronder tv-boxen, ruim voordat infotainmentsystemen in auto's een van de doelwitten werden. Het patroon is consistent tussen apparaatklassen: gecompromitteerde hardware verkoopt in stilte de eigen internetverbinding door als residentieel IP-adres, precies het type waarvoor advertentiefraude-operaties en andere kopers van proxy's betalen, omdat het lijkt op gewoon consumentenverkeer en niet op een datacenterserver.
Wat er met deze campagne is veranderd, zoals gedocumenteerd rond 21 en 22 augustus 2026, is de apparaatklasse, niet het verdienmodel. Een botnet gebouwd uit tv-boxen en een gebouwd uit auto-eenheden verkopen allebei hetzelfde: bandbreedte en IP-reputatie, gestolen van apparaten waarvan de eigenaren nog altijd denken dat ze alleen voor hen werken.
De oplossing zit in het controleren van de updateketen, niet van de showroomvloer
De updatepijplijn van de leverancier, niet de auto die bij de dealer staat, is waar deze campagne werkelijk leeft, omdat JarService binnenkwam via het eigen updatemechanisme van DoFun en niet via enige actie van bestuurder of dealer. De software van de eenheid eenmalig controleren, bij verkoop, toetst slechts een momentopname die al verouderd is zodra de eerste over-the-air-update binnenkomt. Wie het updatekanaal van de leverancier weet te compromitteren, krijgt een blijvende voet tussen de deur in elk voertuig verderop in de keten, in stilte, en het apparaat na levering opnieuw controleren sluit dat kanaal niet.
De les reikt verder dan deze ene campagne: elk wagenpark of elke dealer die voertuigsoftware behandelt als een eenmalige veiligheidsinspectie, vertrouwt op een toeleveringsketen die nooit echt is geverifieerd. De oplossing is geen betere scan van de auto op het terrein; het is doorlopende controle van de updatepijplijn zelf, bij elke push, zolang het voertuig verbonden blijft.
Lees hierna: Apples eigen succes deed het leveringsplan ontploffen | Een Pac-Man-app zette vreemden op uw netwerk
