En firmwareuppdaterare blir en laddare
Kaspersky-forskaren Dmitry Kalinin dokumenterade den första skadlig-kod-kampanjen byggd specifikt för infotainmentenheter i bilar, och ingången är uppdateringskanalen som varje ägare litar på som standard. En komponent som kallas JarService fungerar som laddare: den utnyttjar den inbyggda firmwareuppdateringsmekanismen i DoFun-infotainmentsystem, tillverkade av Shenzhen Driving Control Technology, för att ladda ner en andra last till enheten. Eftersom leveransvägen är tillverkarens egen uppdateringsprocess ser infektionen ut som vanligt underhåll snarare än en attack.
När JarService har fått fotfäste installerar den en proxy- och annonsbedrägeri-modul som heter zhima. Från den punkten är enheten inte längre bara en infotainmentskärm; det är en liten, ständigt uppkopplad dator som kör kod som ägaren aldrig godkänt och knappast kan upptäcka. Bilens egen internetanslutning, tänkt för kartor, streaming och diagnostik, blir resursen som säljs vidare.
Bilen fortsätter att köra eftersom inget säkerhetskritiskt ändras
Den skadliga koden når varken styrning, bromsar eller något annat säkerhetskritiskt fordonssystem, och avgränsningen är avsiktlig, inte en slump. Den rör sig helt inom infotainment- och anslutningslagret, den del av bilen som är byggd för att prata med internet, köra appar och ta emot uppdateringar. Föraren ser ingen varningslampa, ingen förändrad bromsrespons, ingen anledning till misstanke, eftersom inget ändras i hur bilen körs.
Det är precis det som gör ett botnät av hemmaproxyservrar attraktivt för den som driver det. En komprometterad enhet som fortfarande fungerar felfritt som enhet förblir värdefull så länge ingen märker det, och en bil som aldrig beter sig osäkert ger sin ägare ingen anledning att, bokstavligen eller inte, kolla vad nätverksanslutningen egentligen gör i bakgrunden.
Privata ägare märker det knappt, flottor och återförsäljare bär risken
Privata bilägare är den minst utsatta parten i den här historien, eftersom en enda komprometterad bil bara är en nod som gått förlorad i ett botnät av okänd storlek, och en något segare infotainmentskärm är lätt att avfärda som normalt slitage. Flottägare och återförsäljare bär den verkliga exponeringen, eftersom samma DoFun-enhet, med samma firmware, sitter bakom instrumentbrädan i varje fordon de får från den leverantören. En komprometterad uppdatering gör varje bil byggd på den plattformen till en kandidat för samma infektion, inte bara den enhet som råkade bli inspekterad.
En återförsäljare som kontrollerade enhetens mjukvara en enda gång, vid leverans, har ingen insyn i vad som ändrats vid den tionde, tjugonde eller hundrade over-the-air-uppdateringen sedan dess. En flottägare med hundratals fordon ärver samma blinda fläck i större skala: kontrollen som kändes tillräcklig den första dagen säger ingenting om vilken firmware som körs idag.
BADBOX hade redan en historik innan det fick hjul
BADBOX är inte ett nytt botnät uppfunnet för den här kampanjen; Satori-forskarteamet på HUMAN Security hade redan avslöjat samma botnät av hemmaproxyservrar på andra enhetsklasser, inklusive tv-boxar, långt innan infotainmentenheter i bilar blev ett av dess mål. Mönstret är konsekvent över enhetsklasser: komprometterad hårdvara säljer i tysthet vidare sin egen internetanslutning som en hemma-IP-adress, precis den typ som annonsbedrägeri-verksamheter och andra köpare av proxyservrar betalar för, eftersom den ser ut som vanlig konsumenttrafik och inte en datacenterserver.
Det som ändrades med den här kampanjen, såsom dokumenterat kring den 21 och 22 augusti 2026, är enhetsklassen, inte affärsmodellen. Ett botnät byggt av tv-boxar och ett byggt av bilenheter säljer båda samma sak: bandbredd och IP-rykte stulet från enheter vars ägare fortfarande tror att de bara arbetar för dem.
Lösningen ligger i att granska uppdateringskedjan, inte bilhandlaren
Leverantörens uppdateringspipeline, inte bilen som står hos återförsäljaren, är där den här kampanjen egentligen lever, eftersom JarService kom in genom DoFuns egen uppdateringsmekanism och inte genom något föraren eller återförsäljaren gjorde. Att granska enhetens mjukvara en enda gång, vid försäljning, kontrollerar bara en ögonblicksbild som redan är föråldrad så fort den första over-the-air-uppdateringen kommer. Den som lyckas kompromettera leverantörens uppdateringskanal får en bestående åtkomst i varje fordon nedströms, i tysthet, och att återgranska enheten efter leverans stänger inte den kanalen.
Lärdomen sträcker sig bortom denna enda kampanj: varje flotta eller återförsäljare som behandlar fordonsmjukvara som en engångs-säkerhetsinspektion litar på en försörjningskedja den aldrig verkligen har verifierat. Lösningen är inte en bättre skanning av bilen på gården; det är löpande granskning av själva uppdateringspipelinen, vid varje push, så länge fordonet förblir uppkopplat.
Läs vidare: Apples egen framgång sprängde leveransplanen | En Pac-Man-app satte främlingar på ditt nätverk
